reflections on distrusting xz

Merci @jeanmarie , je remets mon texte.

Une partie de l’attaque grâce à une modif du code opensource qui passe pour une amélioration inoffensive pour assouplir le link. L’autre partie le jour de l’attaque.

J’ai pris mes premières infos dans la CVE, mais ca dit quasi rien, mais surtout dans cette première ré-analyse d’un gars que je suis.

Actuellement, ca n’a touché que les distribs qui push les modifs en avant première (Fedora…).
▻https://www.youtube.com/watch?v=jqjtNDtbDNI

▻https://www.youtube.com/watch?v=gyOz9s4ydho

La ref de XKCD
▻https://seenthis.net/messages/872079

le code de XZ ne contient pas la backdoor. Jia Tan l’a ajouté dans le processus de packaging des nouvelles versions, via des fichiers de test. Le code de XZ est propre, mais la version qui sera intégrée dans les distributions Linux contient la backdoor. C’est très malin, plutôt impressionnant.

Je lisais hier une récap assez complète en anglais : ▻https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

  if test "x$GCC" != 'xyes' > /dev/null 2>&1;then
exit 0
fi
if test "x$CC" != 'xgcc' > /dev/null 2>&1;then
exit 0
fi
LDv=$LD" -v"
if ! $LDv 2>&1 | grep -qs 'GNU ld' > /dev/null 2>&1;then
exit 0

Ce matin, la manjaro que j’utilise en desktop me propose de basculer de 5.6.0 en 5.6.1. C’est ballot, les deux sont vérolées. :-/

Tu parles de Linux-base ?

Je parle de Manjaro :

https://pixelfed.zoo-logique.org/storage/m/_v2/493151427756716033/c6a394f69-21cf85/ksgYDfLvFbvU/52hev7W2BnO1PXgOXHotAAMLBhd0ucXTZI7CU9W8.png

Timeline of the xz open source attack

This post is a detailed timeline that I have constructed of the social engineering aspect of the attack, which appears to date back to late 2021. Key events have bold times.

▻https://research.swtch.com/xz-timeline

Dès fois ça a du bon d’avoir encore d’antiques distribs : ma station audio est encore sous ubuntu 20.04, et xz est en version 5.2.4. Et mon ordi portable du taf sous debian 11 a la version 5.2.5.

Est-ce qu’avec Xubuntu, on prend des risques ?

Tu ne prends des risques que si ta machine a son accès SSH ouvert sur le monde et que ta distribution intègre systématiquement les dernières nouveautés.
Je ne crois pas que Xubuntu ait ce genre de prétention.
Manjaro a ces prétentions, et les distributions Debian « unstable » ou « testing » aussi.

De ce que je viens de comprendre en lisant ici ou ailleurs, ce sont surtout les machines qui ont fonction de serveur web qui présentent des risques. Donc, non, mes antiques ordinosaures ne craignent pas grand chose.

Sinon, la faille est déjà mentionnée sur le « french wikipedia ».
▻https://fr.wikipedia.org/wiki/XZ_Utils#Attaque_par_porte_d%C3%A9rob%C3%A9e

SSH, c’est un protocole d’administration. La machine derrière peut servir à pleins d’autres choses qu’à servir du web.

reflections on distrusting xz
▻https://joeyh.name/blog/entry/reflections_on_distrusting_xz

Was the ssh backdoor the only goal that “Jia Tan” was pursuing with their multi-year operation against xz?

I doubt it, and if not, then every fix so far has been incomplete, because everything is still running code written by that entity.

If we assume that they had a multilayered plan, that their every action was calculated and malicious, then we have to think about the full threat surface of using xz. This quickly gets into nightmare scenarios of the “trusting trust” variety.

Le principal développeur de XZ déclarait en 2022

▻https://www.mail-archive.com/xz-devel@tukaani.org/msg00567.html

[..] I haven’t lost interest but my ability to care has been fairly limited mostly due to longterm mental health issues but also due to some other things. Recently I’ve worked off-list a bit with Jia Tan on XZ Utils and perhaps he will have a bigger role in the future, we’ll see. [..] It’s also good to keep in mind that this is an unpaid hobby project.