В библиотеке xz/liblzma выявлен бэкдор, организующий вход через sshd

В пакете XZ Utils, включающем библиотеку liblzma и утилиты для работы со сжатыми данными в формате ".xz", выявлен бэкдор (CVE-2024-3094). Он позволяет перехватывать и модифицировать данные, обрабатываемые приложениями, связанными с библиотекой liblzma. Основной целью бэкдора является сервер OpenSSH, в некоторых дистрибутивах связанный с библиотекой libsystemd, которая, в свою очередь, использует liblzma. Связывание sshd с уязвимой библиотекой позволяет злоумышленникам получить доступ к SSH-серверу без аутентификации.

Бэкдор присутствовал в официальных выпусках xz 5.6.0 и 5.6.1, опубликованных 24 февраля и 9 марта, которые успели попасть в состав некоторых дистрибутивов и репозиториев, например, Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide и 40-beta, openSUSE factory и tumbleweed и другие. Всем пользователям выпусков xz 5.6.0 и 5.6.1 рекомендуется срочно откатиться как минимум на версию 5.4.6, но желательно на 5.4.1, как последний выпуск, опубликованный прошлым сопровождающим.

Каким образом злоумышленникам удалось получить доступ к инфраструктуре проекта xz пока до конца не выяснено, но по предварительным данным внедрение бэкдора осуществлено целенаправленно одним из активных разработчиков проекта xz.

GitHub полностью заблокировал репозитории xz, xz-java и xz-embedded, которые теперь недоступны для анализа и загрузки прошлых версий. Также заблокирован официальный сайт проекта xz.tukaani. org.

Linux / Линукс 🥸

gdu — быстрый анализатор дискового пространства (аналог du), написанный на Go. При помощи gdu можно удобно посмотреть, какие директории занимают больше всего места.

📌 https://github.com/dundee/gdu

Linux / Линукс 🥸

Debian 10 "Buster" перемещён в архив

Репозитории Debian 10 "Buster" перемещены в archive.debian. org, после чего дистрибутив скоро перестанет быть доступным через основную сеть зеркал. Удаление с зеркал пакетов Debian 10 для архитектур, для которых отсутствует LTS-поддержка, планируют произвести в середине апреля.

Linux / Линукс 🥸

Linux / Линукс 🥸

В кодовой базе xz выявлено изменение, мешавшее включению механизма защиты Landlock

В репозитории проекта xz продолжают всплывать изменения, внесённые автором бэкдора для блокирования механизмов защиты. В сборочном сценарии CMakeLists.txt выявлено изменение, не позволявшее использовать в xz механизм изоляции приложений Landlock, при его поддержке в системе. В коде на языке Си, проверяющем доступность системного вызова Landlock, была намеренно добавлена лишняя точка, что приводило к непрохождению проверки на наличие Landlock при любых условиях.

Linux / Линукс 🥸

Релиз операционной системы NetBSD 10.0

Спустя полтора года после формирования прошлого обновления опубликован релиз операционной системы NetBSD 10. Для загрузки подготовлены установочные образы размером 630 МБ, доступные в сборках для 57 системных архитектур и 16 различных семейств CPU.

Новая ветка включает ряд существенных улучшений, таких как поддержка списков контроля доступа в файловой системе FFS, значительная оптимизация производительности, шифрование диска с использованием алгоритма Adiantum и реализация в ядре драйвера для VPN WireGuard.

Linux / Линукс 🥸

Linux / Линукс 🥸

AutoBashCraft - это инструмент, предназначенный для автоматизации создания скринкастов из блоков кода bash, встроенных в файлы markdown. Он идеально подходит для преподавателей, разработчиков и создателей контента, которые хотят с легкостью наглядно продемонстрировать скрипты или команды bash.

AutoBashCraft создаст среду выполнения docker для выполнения команд bash, определенных в файле markdown. Таким образом, вы не будете вносить постоянные изменения в свою хост-систему. Выходные данные команд bash будут записаны и преобразованы в скринкаст. Затем скринкаст можно вставить в файл markdown и просмотреть в любом средстве просмотра markdown.

📌 https://github.com/autobashcraft/cli?tab=readme-ov-file

Linux / Линукс 🥸

Linux / Линукс 🥸