Red Hat, Debian Linux distribucije za dlaku izbjegavaju slanje kritičnih SSH stražnjih vrata

Sofisticirana stražnja vrata dizajnirana za potkopavanje SSH autentifikacije otkrivena su u naširoko korištenoj biblioteci kompresije xz Utils. Sigurnosni istraživači spriječili su potencijalnu katastrofu opskrbnog lanca kada je zlonamjerni kod pronađen u beta izdanjima Fedora Rawhide i Debianovim testnim i eksperimentalnim ograncima.

A nedavno otkrio backdoor u alatu za kompresiju xz Utils (verzije 5.6.0 i 5.6.1) mogao je imati razorne posljedice za distribucije Linuxa. Glavna produkcijska izdanja Red Hata i Debiana nisu bila pogođena, ali su beta verzije bile ranjive. Također je pogođeno stabilno izdanje Arch Linuxa, iako je rjeđe u proizvodnim okruženjima.

Ovo pravodobno otkriće stražnjih vrata spriječilo je veliku štetu, ukazujući na potencijalnu katastrofu da njihova prisutnost ostane neotkrivena.

Backdoor, koji je predstavio programer xz Utils kojem se dugo vjeruje, posebno je podmukao. Ugrožava siguran postupak provjere autentičnosti koji koristi SSH, ključni alat za daljinski pristup sustavu u Linux okruženjima.

Nakon povezivanja, zlonamjerni softver presreće kritični kod, dopuštajući napadačima da zaobiđu autentifikaciju i dobiju neovlašteni root pristup ciljanom sustavu.

Daljnji razvoj

• Utjecaj macOS-a: Kompromitirana verzija 5.6.1 xz Utilsa utjecala je na više aplikacija u upravitelju paketa Homebrew. Homebrew je od tada vraćen na verziju 5.4.6.
• Tekuća pitanja: Potrebna je daljnja istraga kako bi se utvrdio puni opseg mogućnosti backdoor-a i jesu li starije verzije xz Utilsa ugrožene.

Preporučena hitna radnja

• Provjerite svoju distribuciju: Odmah provjerite koristi li vaša distribucija Linuxa pogođene verzije xz Utils. Obratite se svom distributeru za službene upute.
• Otkrivanje i ublažavanje: Dostupne su skripte za otkrivanje koje pomažu u prepoznavanju ranjivih sustava. Slijedite upute svoje distribucije za krpanje što je prije moguće.

Ovaj incident naglašava ozbiljnost ranjivosti lanca nabave softvera i važnost stalne budnosti unutar zajednice otvorenog koda.