Door Sergiu Gatlan
Publicatie van BleepingComputer
Vandaag waarschuwde Red Hat gebruikers om onmiddellijk te stoppen met het gebruik van systemen met Fedora ontwikkelings- en experimentele versies vanwege een achterdeur die gevonden is in de nieuwste XZ Utils datacompressie gereedschappen en bibliotheken.
"STOP ONMIDDELLIJK HET GEBRUIK VAN ALLE FEDORA 41 OF FEDORA RAWHIDE INSTANCES voor werk of persoonlijke activiteiten," waarschuwde Red Hat vrijdag.
"Er zijn geen versies van Red Hat Enterprise Linux (RHEL) getroffen. We hebben rapporten en bewijs van het succesvol bouwen van de injecties in xz 5.6.x versies gebouwd voor Debian unstable (Sid). Andere distributies kunnen ook getroffen zijn."
Het beveiligingsteam van Debian heeft ook een advisory uitgegeven waarin gebruikers worden gewaarschuwd voor het probleem. De advisory zegt dat geen enkele stabiele Debian-versie gebruik maakt van de gecompromitteerde pakketten en dat XZ is teruggezet naar de upstream 5.4.5 code op de getroffen Debian test-, unstable- en experimentele distributies.
Microsoft software engineer Andres Freund ontdekte het beveiligingsprobleem tijdens een onderzoek naar trage SSH logins op een Linux box met Debian Sid (de rolling development versie van de Debian distro).
Hij heeft echter niet het exacte doel gevonden van de kwaadaardige code die is toegevoegd aan XZ versies 5.6.0 en 5.6.1.
"Ik heb nog niet precies geanalyseerd waar de geïnjecteerde code op controleert om ongeautoriseerde toegang mogelijk te maken. Aangezien dit wordt uitgevoerd in een pre-authenticatie context, lijkt het waarschijnlijk om een vorm van toegang of een andere vorm van remote code execution toe te staan," aldus Freund.
"In eerste instantie liet het starten van sshd buiten systemd de vertraging niet zien, ondanks dat de achterdeur kort werd aangeroepen. Dit lijkt deel uit te maken van een aantal tegenmaatregelen om analyse moeilijker te maken."
Red Hat keert terug naar XZ 5.4.x in Fedora Beta
Red Hat volgt dit beveiligingsprobleem nu als CVE-2024-3094, kent het een 10/10 ernstscore toe en keert terug naar 5.4.x versies van XZ in Fedora 40 beta.
De kwaadaardige code is versluierd en kan alleen gevonden worden in het complete download pakket, niet in de Git distributie, die de M4 macro mist, die het achterdeur bouwproces activeert.
Als de kwaadaardige macro aanwezig is, worden de tweede-fase artefacten die gevonden zijn in de Git repository geïnjecteerd tijdens het bouwen.
"De resulterende kwaadaardige build interfereert met de authenticatie in sshd via systemd. SSH is een veelgebruikt protocol om op afstand verbinding te maken met systemen, en sshd is de service die toegang mogelijk maakt," aldus Red Hat.
"Onder de juiste omstandigheden kan deze storing een kwaadwillende actor in staat stellen om de sshd-authenticatie te doorbreken en op afstand ongeautoriseerde toegang tot het hele systeem te krijgen."
CISA heeft vandaag ook een advisory gepubliceerd waarin ontwikkelaars en gebruikers worden gewaarschuwd om te downgraden naar een niet-gecompromitteerde XZ-versie (d.w.z. 5.4.6 Stable) en te jagen op kwaadaardige of verdachte activiteiten op hun systemen.
