Backdoor injetado nas ferramentas de compactação XZ em várias distribuições Linux

Devido ao uso excepcionalmente alto da CPU e às mensagens de erro ao usar o login remoto via SSH, o desenvolvedor de software Andreas Freund notou uma enorme falha de segurança em sua instalação do Debian SID. O desenvolvedor conseguiu identificar a causa como sendo o XZ-Tools, uma coleção de ferramentas de compressão incluídas em muitas distribuições Linux e usadas pelo SSH.

A vulnerabilidade, chamada de CVE-2024-3094permite o acesso remoto não autorizado aos sistemas Linux afetados. As versões afetadas pelo backdoor são os utilitários XZ e a biblioteca liblmza associada nas versões 5.6.0 do final de fevereiro e 5.6.1 de 9 de março. Essas versões comprometidas do XZ, introduzidas por um dos próprios desenvolvedores do XZ, ignoram a autenticação SSH, permitindo que os invasores obtenham controle remoto total do sistema.

O desenvolvedor de software Andreas Freund escreve sobre sua descoberta da vulnerabilidade: "Depois de observar alguns sintomas estranhos em torno da liblzma (parte do pacote xz) nas instalações do Debian sid nas últimas semanas (logins com ssh consumindo muita CPU, erros do valgrind), descobri a resposta: O repositório xz do upstream e os tarballs do xz foram backdoored. A princípio pensei que fosse um comprometimento do pacote do Debian, mas acabou sendo do upstream."

O código backdoor estava apenas parcialmente escondido no código-fonte aberto no GitHub, e o próprio GitHub suspendeu a conta do XZ Utilities por enquanto. As distribuições Linux afetadas, para as quais as atualizações já estão disponíveis, com exceção do Fedora Rawhide, são

• Debian Testing, Unstable e Experimental
• Fedora Rawhide
• Arch Linux
• openSUSE Tumbleweed

Distribuições como Debian Stable, Fedora 39, openSUSE Leap ou Red Hat Enterprise Linux (RHEL) não são afetadas pela vulnerabilidade do XZ Utilities. Se estiver usando uma das distribuições Linux acima, o senhor pode verificar o número da versão do XZ Utilities no console com xz -version. Idealmente, recomenda-se uma nova instalação, especialmente se o acesso SSH estiver ativado no sistema Linux.