Backdoor în xz/liblzma: compromiterea serverului SSH prin lanțul de aprovizionare

Backdoor în xz/liblzma: lanțul de aprovizionare sub atac

Tocmai când credeam că open-source-ul este sigur, un nou incident ne reamintește: încrederea e bună, dar verificarea e mai bună. În biblioteca xz/liblzma, utilizată pe scară largă pentru compresia datelor, a fost descoperită o ușă din spate care permite unui atacator să compromită de la distanță serverul SSH. Da, chiar acel SSH prin care probabil te conectezi la servere.

Ce s-a întâmplat?

Cercetătorii în securitate au găsit cod malițios în repository-ul upstream al xz/liblzma. Backdoor-ul a fost introdus prin mecanismul de build automat și s-a răspândit împreună cu versiunile legitime ale bibliotecii. În anumite condiții, atacatorul putea obține control deplin asupra serverului SSH, exploatând vulnerabilitatea din liblzma.

Cine este în pericol?

Toate sistemele care folosesc versiuni vulnerabile ale xz/liblzma sunt expuse. Acest lucru este critic în special pentru distribuțiile Linux, unde biblioteca face parte din setul de bază. Dacă ai actualizat sistemul între februarie și martie 2024 — merită să verifici versiunea.

Ce trebuie făcut?

1. Actualizează xz/liblzma la ultima versiune corectată.
2. Verifică logurile SSH pentru activități suspecte.
3. Revizuiește politica lanțului de aprovizionare — chiar și componentele de încredere pot fi compromise.

Comentariul studioului METABYTE: Acest incident este un motiv excelent pentru a reflecta asupra securității lanțului de aprovizionare. Noi recomandăm întotdeauna clienților să implementeze scanarea automată a dependințelor și să auditeze periodic bibliotecile utilizate. Codul tău poate fi perfect, dar dacă una dintre dependințe este „minată” — întreaga fortăreață cade.