Red Hat, дистрибутиви Debian Linux майже уникають доставки критичного бекдору SSH

У широко використовуваній бібліотеці стиснення xz Utils виявлено складний бекдор, призначений для порушення автентифікації SSH. Дослідники безпеки запобігли потенційній катастрофі в ланцюзі поставок, коли шкідливий код було виявлено в бета-версіях Fedora Rawhide і тестових і експериментальних гілках Debian.

Нещодавно відкритий бекдор в інструменті стиснення xz Utils (версії 5.6.0 і 5.6.1) міг мати руйнівні наслідки для дистрибутивів Linux. Основні виробничі випуски від Red Hat і Debian не постраждали, але бета-версії були вразливі. Стабільний випуск Arch Linux також постраждав, хоча він менш поширений у робочих середовищах.

Це своєчасне виявлення бекдору запобігло масштабній шкоді, вказуючи на потенційну катастрофу, якби його присутність залишилася непоміченою.

Бекдор, представлений давно надійним розробником xz Utils, є особливо підступним. Це ставить під загрозу безпечний процес автентифікації, який використовується SSH, критично важливим інструментом для віддаленого доступу до системи в середовищах Linux.

Після підключення зловмисне програмне забезпечення перехоплює критично важливий код, дозволяючи зловмисникам обійти автентифікацію та отримати неавторизований кореневий доступ до цільової системи.

Подальші розробки

• Вплив macOS: Зламана версія xz Utils 5.6.1 вплинула на кілька програм у менеджері пакетів Homebrew. З тих пір Homebrew перейшов до версії 5.4.6.
• Поточні питання: Потрібне подальше дослідження, щоб визначити повний обсяг можливостей бекдору та чи були скомпрометовані старіші версії xz Utils.

Рекомендовано термінові дії

• Перевірте свій розподіл: Негайно перевірте, чи ваш дистрибутив Linux використовує відповідні версії xz Utils. Зверніться до свого дистриб’ютора, щоб отримати офіційні вказівки.
• Виявлення та пом'якшення: Скрипти виявлення доступні для виявлення вразливих систем. Дотримуйтеся вказівок вашого дистрибутива щодо виправлення якомога швидше.

Цей інцидент підкреслює серйозність вразливості ланцюга постачання програмного забезпечення та важливість постійної пильності в спільноті відкритих кодів.