Schwere Sicherheitslücke in xz utils entdeckt

In den Bibliotheken des Datenkomprimierungsformats xz, genauer gesagt in den xz utils, wurde eine äußerst kritische Sicherheitslücke entdeckt. Die betroffenen Versionen sind 5.6.0 und 5.6.1. Das xz-Format wird in nahezu jeder Linux-Distribution verwendet, sei es in Community-Projekten oder kommerziellen Produktdistributionen.

Die Hauptfunktion von xz besteht darin, große Dateien zu komprimieren und anschließend wieder zu dekomprimieren, um sie in kleinere Größen zu reduzieren und so einfacher über Dateiübertragungen zu versenden. Leider wurde nun bekannt, dass in den xz utils eine Backdoor eingeführt wurde. Diese Hintertür ermöglicht es potenziellen Angreifern, die Kontrolle über Systeme aus der Ferne zu übernehmen.

Der Entwickler Andres Freund bemerkte ungewöhnliche Symptome in Zusammenhang mit der liblzma, einer Komponente des xz-Pakets, auf Debian-Sid-Installationen. Dazu gehörten unerwartete SSH-Anmeldungen, hohe CPU-Auslastung und Fehler bei der Verwendung von Valgrind. Nach weiteren Untersuchungen gelang es Freund, die Ursache zu finden. Es stellte sich heraus, dass eine Backdoor in das Upstream-xz-Repository und die xz-Tarballs eingefügt worden war.

Es wird dringend davon abgeraten, die Entwicklerversion Fedora Rawhide zu verwenden. Red Hat Enterprise Linux ist von diesem Problem nicht betroffen. Es besteht jedoch die Möglichkeit, dass auch Systeme mit Fedora 40 betroffen sein könnten, da Red Hat festgestellt hat, dass zwei betroffene Versionen der xz-Bibliotheken in Fedora Linux 40 Beta vorhanden sind.

Derzeit scheint Fedora 40 Linux nicht von der aktuellen Malware-Exploit betroffen zu sein. Dennoch wird allen Beta-Benutzern von Fedora 40 Linux empfohlen, auf die Versionen 5.4.x zurückzukehren. Die aktuellste Version von xz utils ist normalerweise nur in Testversionen der Distributionen vorhanden, wenn überhaupt. Dadurch wird die Schwere der Sicherheitslücke etwas abgemildert.

Neben Fedora Rawhide sind auch Debian Testing, Debian Unstable und Opensuse Tumbleweed betroffen. In der Regel verwenden jedoch die stabilen Versionen dieser Distributionen ältere Versionen der xz utils. Arch Linux hingegen verwendet die betroffenen Versionen von xz. Da Arch Linux jedoch openssh nicht direkt mit der liblzma-Bibliothek verknüpft, ist ein Angriff über die Backdoor auf Arch-Systemen nicht möglich. Dennoch wird empfohlen, das System vorsichtshalber durch ein Upgrade zu aktualisieren, um den bösartigen Code zu entfernen.

Es ist möglich, dass es noch weitere, bisher unentdeckte Möglichkeiten gibt, die Hintertür auszunutzen. Daher sollten die betroffenen Linux-Distributionen inzwischen Updates bereitstellen. Es gibt Berichte im Internet, die darauf hinweisen, dass die Entwicklerin Jia Tan für das Einschleusen der Backdoor verantwortlich sein könnte.

Schlagwörter: Fedora Rawhide + xz + Fedora Linux

Wie bewerten Sie den Schreibstil des Artikels?