Die «xz-Hintertür» gefährdet unzählige Computer weltweit – was wir bisher wissen.

Zitat von Clemens23

Das Hintertürchen gab es wohl laut aktuellem Stand nicht bei ARCH

Gut zu wissen. Danke!

Hallo!

bei mir wird das nicht aufgeführt.

 [user@pc ~]$ xz --version 
xz (XZ Utils) 5.6.1 
liblzma 5.6.1 

[user@pc ~]$ yay -Syu 
[sudo] Passwort für user:  
:: Paketdatenbanken werden synchronisiert … 
core ist aktuell 
extra ist aktuell 
multilib ist aktuell 
:: Durchsuche AUR nach Updates... 
:: Durchsuche Datenbanken nach Updates... 
-> linux: ignoring package upgrade (6.8.1.arch1-1 => 6.8.2.arch2-1) 
es gibt nichts zu tun 
[user@pc ~]$ 

Ich habe mir heute mein arch linux kde plasma Setup letztmalig komplett neu aufgesetzt, (dafür heute extra Tag Urlaub genommen, müsste sonst heute wieder los..). Ich hatte ja zuletzt gute Erfahrungswerte, es ging also relativ schnell für meine Verhältnisse

Edit: Korrektur. so sehe ich mehr Details, ist also auch hier die 3er Version aktiv,

[user@pc ~]$ yay -Q --info xz 
Name                     : xz 
Version                  : 5.6.1-3 
Beschreibung             : Library and command line tools for XZ and LZMA compressed files 
Architektur              : x86_64 
URL                      : https://xz.tukaani.org/xz-utils/ 
Lizenzen                 : GPL  LGPL  custom 
Gruppen                  : Nichts 
Stellt bereit            : liblzma.so=5-64 
Hängt ab von             : sh 
Optionale Abhängigkeiten : Nichts 
Benötigt von             : base  botan2  ffmpeg  ffmpeg4.4  file  gdb  grub  karchive  kmod  libarchive  libelf  libtiff  libunwind  libxml2  libxmlb  libxslt  raptor 
                          systemd  systemd-libs  zstd 
Optional für             : mkinitcpio  python 
In Konflikt mit          : Nichts 
Ersetzt                  : Nichts 
Installationsgröße       : 2,46 MiB 
Packer                   : Christian Hesse <eworm@archlinux.org> 
Erstellt am              : Mo 01 Apr 2024 22:40:02 CEST 
Installiert am           : Di 02 Apr 2024 10:41:21 CEST 
Installationsgrund       : Installiert als Abhängigkeit eines anderen Pakets 
Installations-Skript     : Nein 
Verifiziert durch        : Signatur 

[user@pc ~]$ 

Zitat von Clemens23

Das Hintertürchen gab es wohl laut aktuellem Stand nicht bei ARCH, das ist hier ganz gut erklärt:

The xz package has been backdoored / Arch Discussion / Arch Linux Forums

Nach jetzigem Wissensstand sind einige Distributionen überhaupt nicht von der backdoor betroffen dazu gehören Arch und Gentoo. Auch gehen einige Distributionen den Weg und gehen auf Version 5.42 (die letzte Version des alten Maintainer) zurück bis alles überprüft worden ist.

Zitat von ghostbox

[user@pc ~]$ yay -Syu

Kleiner Hinweis am Rande, gib einfach nur yay ein das -Syu benötigst du nur bei pacman.

oh Danke für den Tipp ! KTT73

Zitat von faxxy

Auch gehen einige Distributionen den Weg und gehen auf Version 5.42 (die letzte Version des alten Maintainer) zurück bis alles überprüft worden ist.

Void hat bei mir gerade ein Downgrade von xz durchgeführt

Zitat von Kater

Ich finde es sinn frei von Terminal Textmeldungen einen Screenshot zu posten anstatt gleich den Text.

zum Thema: Nein kein Problem.

thx .. wuie man es macht ist es falsch

Im Zuge der Thematik und teils Unsicherheiten: gibt es die Möglichkeit eine Art Historie anzusehen, was man in seinem System zuletzt installiert, deinstalliert oder was ein Update erhalten hat? wird das protokolliert, so dass man sich das mal in Ruhe ansehen kann? wäre prima. Ich würde gerne etwas kontrollieren ...

Zitat von ghostbox

gibt es die Möglichkeit eine Art Historie anzusehen, was man in seinem System zuletzt installiert, deinstalliert oder was ein Update erhalten hat?

Ich mach das unter Ubuntu so:

less /var/log/apt/history.log > Ausgabe.txt

oder wenn länger her:

less /var/log/apt/history.log.1.gz > Ausgabe.txt

Die Textdatei kannst du dann einfach mit dem Texteditor durchschauen und mit Strg + F durchsuchen. Die Textdatei landet im /home.

Zitat

Zitat von Kater

Ich finde es sinn frei von Terminal Textmeldungen einen Screenshot zu posten anstatt gleich den Text.

Stimmt eigentlich, keine Ahnung warum ich das mit Screenshot gemacht habe zumal nur den Text rein kopieren ja viel schneller geht

Wahrscheinlich war ich kurz im Zustand geistiger Umnachtung

Zitat von Gonzo-3004

Stimmt eigentlich, keine Ahnung warum ich das mit Screenshot gemacht habe zumal nur den Text rein kopieren ja viel schneller geht

Wahrscheinlich war ich kurz im Zustand geistiger Umnachtung

Nenn mich bekloppt, aber ich sehe gerne Terminalfenster. Irgendwie hat das was Befriedigendes und ich schaue mir gerne an, was Leute benutzen xDD

Da ich im Terminal schwarzen Text mit weisem Hintergrund verwende, sieht der Codeblock dann eigentlich genauso aus wie bei meinem Terminalfenster. Also spielt es zumindest bei mir keine Rolle ob Screenshot oder Codeblock, also zumindest optisch.

Weil mich die ganze Story an das Buch "Kuckucksei. Die Jagd auf die deutschen Hacker, die das Pentagon knackten" (engl.: The Cuckoo’s Egg) von Clifford Stoll erinnert hat, habe ich in meinen alten Bücherkisten im Keller gekramt und bin fündig geworden.

Aktuell war es eine kleine Zeitverzögerung beim SSH-Login, die zur Aufdeckung führte, in dem Buch ist es eine Abrechnungsdifferenz von 75 Cent.

Kuckucksei (Clifford Stoll) – Wikipedia

Jetzt sogar bei Bild.de, wenn auch ein bisschen reißerisch.

Mega Hacker-Angriff verhindert: Dieser Deutsche rettete das Internet

Bei routinemäßigen Wartungsarbeiten hat Microsoft-Ingenieur Andres Freund (38) eine „Hintertür“ in einer Software des Linux-Betriebssystems entdeckt.

www.bild.de

20 Jahre jeden Tag die Bild und du hast Abitur...

Zitat von zeltinho

Jetzt sogar bei Bild.de, wenn auch ein bisschen reißerisch.

Hatte ich heute auch durch Zufall gesehen... der Held schlechthin... bis ich las das er bei Microsoft arbeitet

Zitat von zeltinho

Jetzt sogar bei Bild.de, wenn auch ein bisschen reißerisch.

https://www.bild.de/news/ausland/n…63714.bild.html

Wenn die objektiv gewesen wären, hätte es mich auch gewundert.