Door walmare: De backdoor functie zit ook niet in de officiële code maar in een testfile (binary) die tijdens het bouwen wordt geïnjecteerd. Deze test binary (die een functie vervangt) bevindt zich in de test folder van de tarball. Daar zal wel een public key inzitten om via ssh te kunnen inloggen.
Dit gaat ongetwijfeld weer discussies opleveren over het toestaan van binaries. Er hadden tijdens het bouwen/relinken wel wat belletjes moeten afgaan omdat er symbols verwijderd waren.
Wel mooi dat er een PostgreSQL database bouwer op de loonlijst van Microsoft dit heeft ontdekt.

Door Anoniem:
Tja, die prosgressql database bouwer gebruikt dus zelf blijkbaar XZ (op linux?)

Door Anoniem: Is net eerder gemeld als

https://www.security.nl/posting/836058/Red+Hat+en+VS+waarschuwen+voor+backdoor+in+datacompressietool+XZ

Het is geen virus - (niet zelf-replicerend) maar een backdoor.

Door Anoniem: Zie https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094
(geregistreerd onder CVE-2024-3094.)

De foute code zit in versie 5.6.0 en 5.6.1.
Er wordt geadviseerd om terug te gaan naar versie 5.4.6 stable.

Foutje, bedankt. Het woord "virus" gleed opeens zomaar van m'n toetsenbord af toen ik even niet goed oplette.

Zomaar twee brainkrakers ;))))))

Hoe weet je of jouw compiler niet bepaalde code doet verbergen, die er al sinds 1970 in zit?

Het is zelfs zo dat Windows 10+11

Hoe weet je of de compiler geen bug heeft?

Hoe weet je of de compiler waarmee jouw compiler is gecompileerd, geen bug heeft?

Hoe weet je of jouw compiler niet bepaalde code doet verbergen, die er al sinds 1970 in zit?

Zomaar twee brainkrakers ;))))))

Door Anoniem:
Het is meer een backdoor, geen virus. Maar dat was al gezegd.

Er zullen meer van dit soort backdoors in Linux distros zitten. Ik vermoed minstens een tiental , als het er niet meer zijn.

De OSS community is zeer groot. Allemaal projecten die allerlei inlichtingenfiguren van allerlei landen aantrekken incl westen die dan meehelpen met 'coden' , eenmaal toegang tot de FTP of CVS, kunnen ze submitten wat ze willen.

De truuk is om veel goeie dingen te coden, maar af en toe een glitch te submitten.

Of wat ze ook veel doen, is de sourcecode in tact laten maar de gecompileerde versie van een source-met-backdoor laten komen.

Niemand die het ziet, want als jij een tool van site X neemt, bijv een rpm, die tot in de repo komt, dan ben je 'goed'. Het verspreiden gaat dan verder via Redhat servers of andere officiele , Debian, Fedora etc , ook met BSD systemen

Toen ik nog in intelligence werkte (ander land, no worries, ben niet Nederlands) hingen we altijd met een groepje rond een opensource project. In die tijd kregen bepaalde projecten veel gratis 'hulp'.

Maar die 'hobby coders' werden aan de achterkant stiekem betaald.

Dus ik weet als geen ander dat opensource een wassen neus is , en dat Linux distributies zo lek zijn als een mandje.

Het is zelfs zo dat Windows 10+11 veiliger zijn in de kernel dan de Linux kernel, vooral nadat Microsoft na 8.1 enorm veel werk heeft verricht in de Windows kernel. Ja, het is een product van de US intelligence community dus die komen overal bij, maar je zult er geen buitenlandse exploits in vinden........ BSD en Linux daarintegen.....

Wij konden bijv in Xen en dan via die weg bij alle websites van een bepaalde provider, en dan databases kopieren. Veel kritische infrastructuur is lek, en die bugs of zerodays zijn helemaal niet bekend bij niemand, ook niet bij CERT, of NSA. De NSA is heus niet de enige speler, of de Russen of Chinezen. Er zijn ook andere kleine, heel kleine, globale keyplayers soms met een betere informatiepositie dan een land als Nederland.

Wat ook mee telt, de meeste mensen denken dat opensource de heilige graal is..... ze kunnen niet eens rxvt compilen, laat staan Xorg met alle dependencies compilen. En al kon je het compilen, hoe weet je of al die sourcecode wel zo veilig is?

Hoe weet je of de compiler geen bug heeft?

Hoe weet je of de compiler waarmee jouw compiler is gecompileerd, geen bug heeft?

Hoe weet je of jouw compiler niet bepaalde code doet verbergen, die er al sinds 1970 in zit?

Zomaar twee brainkrakers ;))))))


sir boomgaard
aka /home/embahzboom31/
humble servant of marduks split brain horror network

Door Anoniem: Herinneren we ons nog dat er in 2023 een soortgelijke attack is uitgevoerd?
https://www.security.nl/posting/805216/Aanvallers+verborgen+backdoor+in+database+besmette+Barracuda-gateways
De vingers wezen toen ook al in de richting van China.

[..]

Jai Tan betekent zoiets als: "Overwinnende Geweldige". (lijkt me geen toeval: het schetst een bepaalde mentaliteit !!! )

Door Anoniem:
Nou nee, niet soortgelijk.
Aanvallers die een backdoor achterlaten is vrij normaal.
Supply chain aanvaller - een backdoor inbouwen in het 'echte' product is behoorlijk zeldzamer.

Door Anoniem: [
En het was uiteraard niet de bedoeling om hier alle "Jai Tan's" in een kwaad daglicht te stellen. Laten we dat voorop stellen.
Maar dat neemt niet weg dat de schijn behoorlijk aanwezig is dat het niet toevallig is dat ene "Jai Tan" (meestal een pseudoniem in zo'n geval...) niet zomaar deze naam als pseudoniem had gekozen!
Het mag dan nog wat een twijfelgeval zijn, maar het lijkt mij geen toeval, omdat het opmerkelijk goed in het hele plaatje past zoals ik had aangegeven. Maar mocht het 100% bewezen worden dat ik op dit punt ongelijk had, dan biedt ik hierover alvast mijn excuses aan. (en noem in het vervolg verstandige taal a.u.b.geen "gelul")

Door Anoniem:
Gaan zitten diep-analyseren op een eventueel pseudoniem als 'achteraf-verborgen-clue' is gewoon Geen Verstandige Taal.

Fwiw - heb je overigens z'n Chinees gespelde naam ook nog gevonden ?

Zonder aanduiding van de tonen zijn er zo al meerdere mogelijkheden voor de uitspraak en daarbij betekenis van de naam.
Daarnaast heeft het Chinees (net als iedere taal) dan ook nog homoniemen - zelfde uitspraak , andere betekenis (en al dan niet een ander Chinees karakter ). Om uberhaupt iets te zeggen over de betekenis van een Chinese naam moet je feitelijk de karakter-versie hebben. De pinyin transcriptie is second best - en een platgeslagen versie zonder aanduiding van tonen geeft je waarschijnlijk een fors aantal permutaties die allemaal een naam zijn, met wild verschillende betekenissen.

Verder : jia (a eerste toon) betekent "goed, gelukkig mooi" , of (ander karakter, zelfde uitspraak) - huis,familie.

Nog afgezien van de beperkte waarde die ik hecht aan je betekenis-analyse, heb ik dus sterke twijfels of je uberhaupt een goede betekenis gevonden hebt.

Echt - niet te veel geloven in Hollywood thriller scenario's met diepe clues verstopt in namen.

Ik zit niet heel sterk in Chinese namen - maar voorlopig ga ik ervan uit het een heel normale naam is.En wie weet zelfs een echt persoon.
(Tan, als familie naam , is dat zeker. Ik ben er enkele tegen gekomen. ).

Meneer Richard Johnson zal wel echt een lul zijn... , in de verstandige analyse van een chinees met translator.

Door Anoniem: Sommigen adviseren een downgrade naar xz versie 5.2.5, want toen had er nog geen Jia Tan aan gewerkt.

2023-06-22: Hans Jansen sends a pair of patches, merged by Lasse Collin, that use the “GNU indirect function” feature to select a fast CRC function at startup time. The final commit is reworked by Lasse Collin and merged by Jia Tan. This change is important because it provides a hook by which the backdoor code can modify the global function tables before they are remapped read-only. While this change could be an innocent performance optimization by itself, Hans Jansen returns in 2024 to promote the backdoored xz and otherwise does not exist on the internet.

Door Anoniem:
Dus jij denkt dat iemand gewoon een backdoor inbouwt onder zijn of haar eigen naam? Serieus?