Die «xz-Hintertür» gefährdet unzählige Computer weltweit – was wir bisher wissen.

kim88 · March 30, 2024 at 8:27 PM

kim88 hat einen neuen Blog-Artikel erstellt: Die «xz-Hintertür» gefährdet unzählige Computer weltweit – was wir bisher wissen..

Quote

Es müssen immer die Feiertage. Im Dezember gab es die "Log4j" Sicherheitslücke die unzählige Server und Computer weltweit massiv gefährdet hat.

Anwendungsentwickler und Systemadministratoren hatten damals ein stressiges Weihnachtsfest. Nun haben sie stressige Ostern.

Gestern wurde bekannt, dass die "xz" Bibliothek einen Backdoor enthält.

Was ist "xz"?
Viele von euch werden sich fragen: Was zur Hölle ist xz? Nunja xz ist ein Kompressionsformat, ähnlich wie ZIP oder RAR - mit dem Unterschied das xz…
Display More

harihegen · March 30, 2024 at 8:36 PM

Wahnsinn, in Krimi im echten Leben.

Ohne Mist, solche Szenarien befürchte ich seit vielen Jahren und es würde mich nicht wundern wenn das nur die Spitze des Eisberges ist.

DenalB · March 30, 2024 at 9:32 PM

Vielen Dank, kim88 . Bis zu deinem Blog-Artikel hatte ich mit "xz" nichts anfangen können ... Heftig.

Quote

XZ Utils 5.6.0 and 5.6.1 release tarballs contain a backdoor.

Damit bin ich unter Arch Linux definitiv betroffen. Aktuell ist xz in der Version 5.6.1 installiert. Die neue Version wurde gerade erst am 28.03.24 ins Repo geladen.

Ich bin gespannt, wann es einen Fix geben wird ...

Sojan · March 30, 2024 at 9:36 PM

Quote from DenalB

Vielen Dank, kim88 . Bis zu deinem Blog-Artikel hatte ich mit "xz" nichts anfangen können ... Heftig.
Damit bin ich unter Arch Linux definitiv betroffen. Aktuell ist xz in der Version 5.6.1 installiert. Die neue Version wurde gerade erst am 28.03.24 ins Repo geladen.
Ich bin gespannt, wann es einen Fix geben wird ...

Ist doch schon

Commits · main · Arch Linux / Packaging / Packages / xz · GitLab

Library and command line tools for XZ and LZMA compressed files packages: xz

gitlab.archlinux.org

DenalB · March 30, 2024 at 9:38 PM

Quote from Sojan

Ist doch schon

Ah, dann wurde nicht die Version 5.6.1, sondern der Fix 5.6.1-2 am 28.03.24 ins Repo geladen und installiert.

Danke für die Aufklärung!

Sojan · March 30, 2024 at 9:57 PM

Quote from DenalB

Ah, dann wurde nicht die Version 5.6.1, sondern der Fix 5.6.1-2 am 28.03.24 ins Repo geladen und installiert.

Bin gespannt, was die weiteren Analysen noch zum Vorschein bringen. Kann mir nicht vorstellen, dass ein so lang vorbereiteter und aufwendiger Angriff nur einen Weg des Einschleusens nutzt. Deshalb wäre ich vorsichtig zu sagen, dass die Bedrohung durch den aktuellen Patch gebannt ist. Bleibt spannend.

KTT73 · March 30, 2024 at 10:09 PM

Mein Homi ist noch lange nicht bei dem Versionsstand (Debian GNU/Linux 11 (bullseye) x86_64)

Code

xz-utils/oldstable,oldstable-security,now 5.2.5-2.1~deb11u1 amd64 [installed]
 XZ-format compression utilities

VurtdaFurk · March 30, 2024 at 10:27 PM

Sorry die Frage, aber wie prüft man ob SSH aktiv wäre? Ich nehme an, das müsste vom Benutzer zuvor installiert, aktiviert werden? Ich frage nur, weil ich Jeans Video gesehen habe wo er zu Debian mit Cinamon gewechselt ist und sein Linux Assistant soweit ich mich erinnern kann, nach der Prüfung SSH anzeigte. Linuxnews schreibt, das Paket sei nicht zu Ubuntu gelangt. Aber wie Sojan sagt, wer weiss was da noch abging.

KTT73 · March 30, 2024 at 10:32 PM

ps | grep sshd

harihegen · March 30, 2024 at 10:35 PM

Mein Debian hat hier: xz-utils/stable,now 5.4.1-0.2 amd64 [Installiert,automatisch]

Quote from VurtdaFurk

Sorry die Frage, aber wie prüft man ob SSH aktiv wäre?

In einer Konsole mit diesem Befehl:

Code

systemctl status ssh

DenalB · March 30, 2024 at 10:55 PM

Quote from harihegen

In einer Konsole mit diesem Befehl:

Dürfte bei mir nicht aktiviert sein ...
Unit ssh.service could not be found.

Helmfuss · March 30, 2024 at 10:57 PM

Alle, die gerne lieber gestern wie morgen das aktuellste haben wollen, sollten solche Szenarien im Hinterkopf haben.

Stable und LTS Versionen haben schon was Gutes.

Lotsenbruder · March 30, 2024 at 11:01 PM

Gut das es dieses Forum und in diesem Fall speziell kim88 (riesengroßen Dank für deinen Artikel,. den sogar ich halbwegs verstanden habe) gibt.

Stardenver · March 30, 2024 at 11:07 PM

Boah, das ist ja echt mega spannend. Meine Güte.

Lotsenbruder · March 30, 2024 at 11:17 PM

Da merkt man erst wie unwissend und auch vertrauensselig man ist.

Clemens23 · March 30, 2024 at 11:22 PM

Danke kim88 für deine ausführlichen und journalistischen Blog-Artikel.

Du hast das gut zusammengetragen was derzeit bekannt ist.

JochenPankow · March 30, 2024 at 11:23 PM

Aufregend auf alle Fälle! Danke an kim88 für den Artikel!

DenalB · March 31, 2024 at 12:57 PM

Quote from Helmfuss

Alle, die gerne lieber gestern wie morgen das aktuellste haben wollen, sollten solche Szenarien im Hinterkopf haben.

Ich bleibe trotzdem dabei ...

Hessen-Dieter · March 31, 2024 at 4:53 PM

Hallo alle zusammen,

auch nochmals herzlichen Dank an kim88 für seinen Top-aktuellen Bericht, bzw. für seine aufopfernde Recherche!

Also ganz ehrlich, mir macht das im Moment schon ein bisschen weiche Knie!

Deswegen, haltet mich bitte nicht für Paranoid... werde ich, sobald es möglich ist zu Ubuntu 24.04 LTS wechseln.

Bin halt der Meinung, dass wenn bei einem System oder Distro ein großer Konzern dahinter steht, die Chance das so etwas passiert, eher geringer ist.

Perval · March 31, 2024 at 5:24 PM

Quote from Hessen-Dieter

Hallo alle zusammen,
auch nochmals herzlichen Dank an kim88 für seinen Top-aktuellen Bericht, bzw. für seine aufopfernde Recherche!
Also ganz ehrlich, mir macht das im Moment schon ein bisschen weiche Knie!
Deswegen, haltet mich bitte nicht für Paranoid... werde ich, sobald es möglich ist zu Ubuntu 24.04 LTS wechseln.
Bin halt der Meinung, dass wenn bei einem System oder Distro ein großer Konzern dahinter steht, die Chance das so etwas passiert, eher geringer ist.

Ubuntu nutzt meines Wissens nach auch nur Code von Debian (unstable). Also die Gefahr besteht dort wahrscheinlich auch...

Die «xz-Hintertür» gefährdet unzählige Computer weltweit – was wir bisher wissen.

Was ist "xz"?

Participate now!

Tags