The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd"
Версия для распечатки Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Исходное сообщение [ Отслеживать ]
Отдельный RSS теперь доступен для каждого обсуждения в форуме и каждого минипортала.
. "В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..." +14 +/
Сообщение от Аноним (43), 30-Мрт-24, 00:34 
Нету в проекте openssh никаких обращений к libsystemd и тем более "методов".

Умники-разумники из популярных дистро вместо того, чтобы самим реализовать достаточную часть протокола — вызвать getenv("NOTIFY_SOCKET"), открыть указанный там сокет, написать туда в нужный момент 8 байт ("READY=1\n"), закрыть сокет и вызвать unsetenv() — решили слинковаться с libsystemd ради одной функции, совершающей вышеперечисленные шаги, и притащили в адресное пространство вагон зависимостей этой libsystemd вроде libcurl, liblzma, libmount и ещё десятка чего-то там. Этим бекдор и пользуется, вмешиваясь в работу dynamic linker, о чём довольно подробно написано в рассылке oss-security.

Умник №1: https://salsa.debian.org/ssh-team/openssh/-/commit/59d17e908...
Умник №2: https://src.fedoraproject.org/rpms/openssh/blob/176421c4e42b...

Функция sd_notify() не дёргает liblzma, для бекдора этого не надо. Т. н. "systemd notifications" можно реализовать без libsystemd, и этот протокол применяется не только в systemd (ещё в QEMU).

Извращение добавили те дистро, что впатчили сборку с libsystemd. Прежде чем писать, сначала лучше проверяйте сведения.

Ответить | Правка | Наверх | Cообщить модератору

Оглавление
В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd, opennews, 29-Мрт-24, 22:43  [смотреть все]
Форумы | Темы | Пред. тема | След. тема



Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру