Die «xz-Hintertür» gefährdet unzählige Computer weltweit – was wir bisher wissen.

Problematisch sind scheinbar nur die Version 5.6.0 und 5.6.1. Davor und danach, also schon 5.6.1-2 soll wieder ok sein. So zumindest der momentane Stand.

Zitat von aetti

m Terminal werden beim Befehl "xz --version" die folgenden Informationen ausgegeben:
xz (XZ Utils) 5.2.5
liblzma 5.2.5

Damit bist du nicht vom aktuellen Problem betroffen.

Zitat von DenalB

Damit bist du nicht vom aktuellen Problem betroffen.

Dank für die Antwort. Jedoch irritiert mich die Meldung über den abgelaufenen Support.

Ich kann mir nicht vorstellen, dass du für dieses Paket keine Sicherheitsupdates bekommen wirst. Zumal Ubuntu 22.04 ja noch offiziell supportet wird.

aetti wie soll der Handlungsbedarf denn aussehen? Du hast die xz-Version aus dem Jammy-Repo auf Deinem System. Geh doch erst einmal davon aus, dass damit alles Okay ist.

Zitat von zeltinho

aetti wie soll der Handlungsbedarf denn aussehen? Du hast die xz-Version aus dem Jammy-Repo auf Deinem System. Geh doch erst einmal davon aus, dass damit alles Okay ist.

Danke für die Rückmeldung. Gemäss Deiner und derjenigen von DenalB bin ich also auf der "sicheren" Seite.

Mit dem Text "Canonical stellt Aktualisierungen für kritische Fehler von xz-utils bis Sa. Okt. 21 2023 bereit." komme ich nicht ganz klar. Ich interpretiere das so, dass ab dem 21.10.23 Canonical keine Updates für kritische Fehler mehr ausliefert.

In den Betriebssystemen wimmelt es von Paketen, die noch nicht einmal mehr Sicherheitspatches bekommen. Da müssen wir mit leben.

bei mir sieht es wie folgt aus mit Arch

xz (XZ Utils) 5.6.1
liblzma 5.6.1

Zitat von VurtdaFurk

Die Grätsche zwischen Privacy und Security ist nicht immer einfach.

Du meinst wohl Komfort und Sicherheit? Privatsphäre und Sicherheit sollten eigentlich Hand in Hand gehen. Ansonsten besteht da wohl ein konzeptionelles Problem.

Wie die Computerwelt gerade haarscharf an einer Sicherheitskatastrophe vorbeigeschrammt ist

Nur durch Benchmarks eines einzelnen Programmierers fliegt die über Jahre vorbereitete Unterwanderung von Millionen Systemen auf. Dahinter dürften staatliche Angreifer stehen

Eine sehr schöne Zusammenfassung von Andreas Proschofsky DerStandard.at zu dem Thema.

LMDE 6 Faye

xz (XZ Utils) 5.4.1
liblzma 5.4.1

Mehr Infos mit apt show xz-utils

$ apt show xz-utils
Package: xz-utils
Version: 5.4.1-0.2
Priority: standard
Section: utils
Maintainer: Jonathan Nieder
Installed-Size: 1’255 kB
Provides: lzma
Depends: libc6 (>= 2.34), liblzma5 (>= 5.4.0)
Conflicts: lzma (<< 9.22-1), xz-lzma
Breaks: lzip (<< 1.8~rc2), manpages-de (<< 4.17.0-2~bpo11+1), manpages-fr (<< 4.17.0-2~bpo11+1)
Replaces: lzip (<< 1.8~rc2), manpages-de (<< 4.17.0-2~bpo11+1), manpages-fr (<< 4.17.0-2~bpo11+1), xz-lzma
Homepage: https://tukaani.org/xz/
Tag: implemented-in::c, interface::commandline, role::program,
 scope::utility, use::checking, use::compressing, use::storing,
 works-with::archive, works-with::file
Download-Size: 471 kB
APT-Manual-Installed: yes
APT-Sources: http://ftp.ch.debian.org/debian bookworm/main amd64 Packages
Description: Komprimierwerkzeuge für das XZ-Format
 XZ ist der Nachfolger des
 Lempel-Ziv/Markov-Ketten-Algorithmus-Kompressionsformats, das eine
 speicherhungrige aber mächtige Komprimierung (oft besser als bzip2) und
 eine schnelle, einfache Dekomprimierung bietet.
 .
 Dieses Paket beinhaltet die Kommandozeilenwerkzeuge, wie xz, unxz, xzcat,
 xzgrep, usw., um mit der XZ-Komprimierung zu arbeiten. Diese Werkzeuge
 können auch das ältere Format LZMA verarbeiten und, falls mit einem
 passenden symbolischen Verweis aufgerufen, das Verhalten der im Paket lzma
 enthaltenen Befehle emulieren.
 .
 Das Format XZ ist vergleichbar mit dem älteren Format LZMA, bietet aber
 einige Verbesserungen zum generellen Gebrauch:
 .
  * »file«-Magie, um XZ-Dateien zu entdecken;
  * Prüfwertbestimmung mittels CRC64;
  * eingeschränkte Unterstützung für »Random-Access Reading«;
  * verbesserte Unterstützung für Multithreading (nicht verwendet in
    xz-utils);
  * Unterstützung zum Leeren des Kodierers.

Gerade werden mir unter Arch Linux neue Updates dazu angeboten.

xz 5.6.1-2 -> 5.6.1-3
lib32-xz 5.6.1-2 -> 5.6.1-3

War das Hintertürchen vielleicht doch nicht direkt geschlossen worden?

wie jetzt ...

schon wieder ??

5.6.1-3 habe ich nicht

Zitat von Hessen-Dieter

5.6.1-3 habe ich nicht

Ist erst seit Kurzem als neues Package verfügbar.

Arch Linux - Package Search

Zitat von DenalB

Ist erst seit Kurzem als neues Package verfügbar.

https://archlinux.org/packages/?sort…ainer=&flagged=

Danke dir, jetzt habe ich das auch

Wenn ich das richtig verstanden habe, wurde Jia Tan mit seinen Keys aus dem letzten Build entfernt. Das hier ist jetzt eine Version mit angepassten Signaturen. Aber vielleicht kann kim88 da Genaueres sagen. Als Info wird "rebuild packages without signature in sync db" angegeben.

Zitat von DenalB

Gerade werden mir unter Arch Linux neue Updates dazu angeboten.

Code

xz 5.6.1-2 -> 5.6.1-3
lib32-xz 5.6.1-2 -> 5.6.1-3

War das Hintertürchen vielleicht doch nicht direkt geschlossen worden?

Das Hintertürchen gab es wohl laut aktuellem Stand nicht bei ARCH, das ist hier ganz gut erklärt:

The xz package has been backdoored / Arch Discussion / Arch Linux Forums