Übrigens, ich hatte meiner Frau vor 2 Tagen erzählt, dass ich nun auch auf meinem Laptop Linux nutze. Ihr Kommentar dazu:
Warum machst du das denn? Linux wird doch gerade angegriffen ...
Ich wollte damit nur sagen, dass diese xz-Problematik bei unerfahrenen Nutzern durch die Presse gerade richtig aufgebauscht wird und sicherlich kein Neuling gerade daran denkt, von Windows auf Linux zu wechseln. Wird doch Linux gerade angegriffen ... 
Das Hintertürchen gab es wohl laut aktuellem Stand nicht bei ARCH
Gut zu wissen. Danke!
5.6.1-3 habe ich nicht
Ist erst seit Kurzem als neues Package verfügbar.
Gerade werden mir unter Arch Linux neue Updates dazu angeboten.
xz 5.6.1-2 -> 5.6.1-3
lib32-xz 5.6.1-2 -> 5.6.1-3War das Hintertürchen vielleicht doch nicht direkt geschlossen worden? 
Ich kann mir nicht vorstellen, dass du für dieses Paket keine Sicherheitsupdates bekommen wirst. Zumal Ubuntu 22.04 ja noch offiziell supportet wird.
m Terminal werden beim Befehl "xz --version" die folgenden Informationen ausgegeben:
xz (XZ Utils) 5.2.5
liblzma 5.2.5
Damit bist du nicht vom aktuellen Problem betroffen. 
alles gut ist und kein Grund mehr zur Sorge!
Zumindest bei dem, was wir wissen.
Mit yay -S xz bekomme ich übrigens die besagte Version als installiert bestätigt.
Stimmt. Geht auch mit sudo pacman -S xz, falls man kein yay nutzt.
[denalb@PROMETHEUS-Archlinux ~]$ sudo pacman -S xz
[sudo] Passwort für denalb:
Warnung: xz-5.6.1-2 ist aktuell -- ReinstalliereBei aktuellem Manjaro hat es mich wohl getroffen.
Ich denke nicht. Bei mir sieht es auch so aus:
[denalb@PROMETHEUS-Archlinux ~]$ xz --version
xz (XZ Utils) 5.6.1
liblzma 5.6.1Es ist aber die Version 5.6.1-2 installiert, wie im Repository angezeigt. Mir wird unter Arch Linux nämlich kein Update angezeigt, obwohl es am 28.03.24 erschienen ist.
Wie kann man sich denn die detaillierte Versionsinfo anzeigen lassen?
Bin halt der Meinung, dass wenn bei einem System oder Distro ein großer Konzern dahinter steht, die Chance das so etwas passiert, eher geringer ist.
Fedora ist ebenfalls davon betroffen und da steht Red Hat dahinter ... Also so ganz stimme ich dir nicht zu.
Alle, die gerne lieber gestern wie morgen das aktuellste haben wollen, sollten solche Szenarien im Hinterkopf haben.
Ich bleibe trotzdem dabei ...
In einer Konsole mit diesem Befehl:
Dürfte bei mir nicht aktiviert sein ...
Unit ssh.service could not be found.
Ist doch schon
Ah, dann wurde nicht die Version 5.6.1, sondern der Fix 5.6.1-2 am 28.03.24 ins Repo geladen und installiert.
Danke für die Aufklärung!
Vielen Dank, kim88 . Bis zu deinem Blog-Artikel hatte ich mit "xz" nichts anfangen können ... Heftig.
XZ Utils 5.6.0 and 5.6.1 release tarballs contain a backdoor.
Damit bin ich unter Arch Linux definitiv betroffen. Aktuell ist xz in der Version 5.6.1 installiert. Die neue Version wurde gerade erst am 28.03.24 ins Repo geladen.
Ich bin gespannt, wann es einen Fix geben wird ...
