Forwarded from Cybersecgame (Oleg)
CVE-2024-3094 — это всё, как мы тут любим.
Во первых, если вы используете любой современный дистрибутив linux,, срочно убедитесь, что вас эта уязвимость не касается, то бишь xz/liblzma у вас ДО версии 5.6.0.
Во вторых, какая история. Формат xz, использующий алгоритм сжатия LZMA2, был придуман в 2007 году восторженным шифропанком по имени Лассе Коллин. Вообще, он там собирался делать дистрибутив Linux на основе Slackware, помещающийся на один компакт-диск, но, насколько можно судить, до этого дело не дошло. А вот xz пошел в массы и поддерживался Лассе примерно до 2022 года.
То ли по причине своей эмоциональной нестабильности, то ли ещё по каким соображениям, в 2022 году, Лассе был взят в оборот какой-то трёхбуквенной (или, скорее, трёхиегроглифовой) организацией и при помощи нехитрых (но для жертвы весьма неприятных) психологичеких трюков принуждён к передаче проекта неким виртуальным личностям.
Личности эти потом проделали довольно большую и сложную работу, чтобы добавить в xz этот самый бэкдор и хорошо его спрятать. При этом, они старательно работали над самим проектом. Вот, например, они благодарят шведских переводчиков за перевод XZ Utils на шведский.
Отдельно смешно то, что код эксплойта был внедрён в систему сборки проекта через подсистему тестирования. Но Лассе не использовал автоматизированных тестов и всё тестировал на глазок. То есть, злоумышленники написали все тесты сами. С нуля.
Во всём этом есть хорошие новости и есть плохие.
Из хороших: в популярных опенсорс продуктах спрятать бэкдор, даже если ты талантливый маскировщик, не так просто, Впрочем, открытость кода сыграла в расследовании не главную роль. Как мы увидим по ссылкам ниже, всё началось с того, что сотрудник Microsoft Андрес Френд обратил внимание на странное поведение ssh на своих машинах и только потом полез в код разбираться. Причём, получается, что он за несколько часов сломал злоумышленникам почти двухлетнюю работу: широко распространить уязвимую версию им не удалось.
Из плохих новостей всё остальное. Мы без понятия, в скольких ещё проектах эти ребята выступают мэйнтейнерами под другими ничего не означающими именами. Далеко не каждым софтом пользуются въедливые исследователи.
Ну и оказывается, мозг разработчика может быть уязвим ничуть не меньше, чем его код.
Литература:
https://www.opennet.ru/opennews/art.shtml?num=60880 — последовательность событий, приведших к образованию бэкдора
https://mastodon.social/@AndresFreundTec/112180406142695845 — Андрес Френд рассказывает, как он обратил внимание на странности с ssh
https://news.ycombinator.com/item?id=39866275 — ещё одна история про то, как новые мэйнтейнеры xz применяют манипулятивные техники для распространения правильной забэкдоренной версии.
Во первых, если вы используете любой современный дистрибутив linux,, срочно убедитесь, что вас эта уязвимость не касается, то бишь xz/liblzma у вас ДО версии 5.6.0.
Во вторых, какая история. Формат xz, использующий алгоритм сжатия LZMA2, был придуман в 2007 году восторженным шифропанком по имени Лассе Коллин. Вообще, он там собирался делать дистрибутив Linux на основе Slackware, помещающийся на один компакт-диск, но, насколько можно судить, до этого дело не дошло. А вот xz пошел в массы и поддерживался Лассе примерно до 2022 года.
То ли по причине своей эмоциональной нестабильности, то ли ещё по каким соображениям, в 2022 году, Лассе был взят в оборот какой-то трёхбуквенной (или, скорее, трёхиегроглифовой) организацией и при помощи нехитрых (но для жертвы весьма неприятных) психологичеких трюков принуждён к передаче проекта неким виртуальным личностям.
Личности эти потом проделали довольно большую и сложную работу, чтобы добавить в xz этот самый бэкдор и хорошо его спрятать. При этом, они старательно работали над самим проектом. Вот, например, они благодарят шведских переводчиков за перевод XZ Utils на шведский.
Отдельно смешно то, что код эксплойта был внедрён в систему сборки проекта через подсистему тестирования. Но Лассе не использовал автоматизированных тестов и всё тестировал на глазок. То есть, злоумышленники написали все тесты сами. С нуля.
Во всём этом есть хорошие новости и есть плохие.
Из хороших: в популярных опенсорс продуктах спрятать бэкдор, даже если ты талантливый маскировщик, не так просто, Впрочем, открытость кода сыграла в расследовании не главную роль. Как мы увидим по ссылкам ниже, всё началось с того, что сотрудник Microsoft Андрес Френд обратил внимание на странное поведение ssh на своих машинах и только потом полез в код разбираться. Причём, получается, что он за несколько часов сломал злоумышленникам почти двухлетнюю работу: широко распространить уязвимую версию им не удалось.
Из плохих новостей всё остальное. Мы без понятия, в скольких ещё проектах эти ребята выступают мэйнтейнерами под другими ничего не означающими именами. Далеко не каждым софтом пользуются въедливые исследователи.
Ну и оказывается, мозг разработчика может быть уязвим ничуть не меньше, чем его код.
Литература:
https://www.opennet.ru/opennews/art.shtml?num=60880 — последовательность событий, приведших к образованию бэкдора
https://mastodon.social/@AndresFreundTec/112180406142695845 — Андрес Френд рассказывает, как он обратил внимание на странности с ssh
https://news.ycombinator.com/item?id=39866275 — ещё одна история про то, как новые мэйнтейнеры xz применяют манипулятивные техники для распространения правильной забэкдоренной версии.
www.opennet.ru
Ретроспектива продвижения бэкдора в пакет xz
Предположительно бэкдор в пакет xz был внедрён разработчиком Jia Tan, который в 2022 году получил статус сопровождающего и выпускал релизы начиная с версии 5.4.2. Помимо проекта xz предполагаемый автор бэкдора также участвовал в разработке пакетов xz-java…
Forwarded from How to Go wrong (Alexey Palazhchenko)
Все написали, и Russ Cox написал:
* https://research.swtch.com/xz-script
* https://research.swtch.com/xz-timeline
* https://research.swtch.com/xz-script
* https://research.swtch.com/xz-timeline
Давно не было опросов. Что-то меня заинтересовало. И так, начало: «Я IT-шник и уехал с началом специальной военной войны из России. Сейчас я...»
Final Results
3%
Не нашёл себя за рубежом и вернулся в Россию
3%
Вернулся в Россию к семье, которая так и не уехала из России
0%
Вернулся в Россию, а семья осталась за рубежом
9%
Нашёл себя вне России, живу с семьёй за рубежом
2%
Нашёл себя вне России, семья осталась в России
5%
Нашёл себя за рубежом и счастлив
1%
Не нашел себя за рубежом, живу за рубежом, семья осталась в России
2%
Не нашел себя за рубежом, живу с семьёй за рубежом
3%
Не нашёл себя за рубежом, живу за рубежом в непонятках
71%
Я не IT-шник и/или не уехал из России
Некоторым читателям хотелось бы поставить себя куда-нибудь. Я только рад
Final Results
16%
Я IT-шник и уехал с началом специальной военной войны из России, остался за рубежом
4%
Я IT-шник и уехал с началом специальной военной войны из России, вернулся
51%
Я IT-шник, никуда не уезжал из России
2%
Я НЕ IT-шник и уехал с началом специальной военной войны из России, остался за рубежом
1%
Я НЕ IT-шник и уехал с началом специальной военной войны из России, вернулся
15%
Я НЕ IT-шник, никуда не уезжал из России
6%
Я уехал давно и хочу посмотреть результаты
5%
Я вообще не жил в России и хочу посмотреть результаты
А почему в полчетвертого ночи вы не спите?
Final Results
22%
У меня лапки
11%
Ты задолбал своими шутками
2%
Toks kelias
35%
Таков путь
13%
This is the way
12%
Час волка
7%
Kur yra tualetas?
⚡️⚡️⚡️ Прямо сейчас стрим VPN Generator. Отвечают на ваши вопросы Олег, Миша и Тина
Forwarded from VPN Generator
https://www.youtube.com/watch?v=XjYCNil3zDw - Начинаем!)
YouTube
VPN Gen Ответы на вопросы 01
VPN Generator – это бесплатный VPN для активистов и тех, кто хочет оставаться на связи, несмотря на блокировки и цензуру. Получить VPN 👉 https://bit.ly/vpngen-stream
Любой желающий может создать собственный сервер, куда сможет пригласить друзей и знакомых…
Любой желающий может создать собственный сервер, куда сможет пригласить друзей и знакомых…
Эшер II
Некоторым читателям хотелось бы поставить себя куда-нибудь. Я только рад
🦀 Несмотря на то, что я попытался закрыть каменты, они всё-таки случились.
🕊 Хочу тут обратить внимание, что уехавшее меньшинство всё ещё остаётся И по российским законам, И по международным договорам и конвенциям равноправными гражданами России. Такими же абсолютно равноправными гражданами являются и оставшиеся в России. Все попытки выкинуть из жизни России уехавших смахивают на мятеж, захват власти и призывы к нарушению действующего Конституционного строя. Это верно и в обратную сторону.
🌸 В Вильнюсе зацвели сакуры. Как и в Японии.
🖖 Live long and prosper
🕊 Хочу тут обратить внимание, что уехавшее меньшинство всё ещё остаётся И по российским законам, И по международным договорам и конвенциям равноправными гражданами России. Такими же абсолютно равноправными гражданами являются и оставшиеся в России. Все попытки выкинуть из жизни России уехавших смахивают на мятеж, захват власти и призывы к нарушению действующего Конституционного строя. Это верно и в обратную сторону.
🌸 В Вильнюсе зацвели сакуры. Как и в Японии.
🖖 Live long and prosper
Если я стал говорить в стиле Кипчатова — это признак мудрости или старости?
Поддержите этот канал 💫
Нравится контент? Поддержите автора донатом! Спасибо за поддержку! 🙏
Нравится контент? Поддержите автора донатом! Спасибо за поддержку! 🙏
🤷♂️ Я не оценил новости про блокировку иностранных хостеров. Хочу понять реалии.
Final Results
8%
Я в России у меня работает сайт digitalocean.com без VPN
39%
Я в России у меня НЕ работает сайт digitalocean.com без VPN
4%
Я в России у меня работает сайт hostgator.com без VPN
32%
Я в России у меня НЕ работает сайт hostgator.com без VPN
53%
Я не в России, я хочу посмотреть ответы
🌧 Почти политический пост. Но про Минцифру. Я смотрю на кадры застрявших после ливневых дождей в Дубаях. Там еда, вода, билеты (их нет, люди трое суток сидят в аэропорту без всего, включая информацию). Вспомнил начало COVID-19 и эвакуацию людей из чужедальних краёв. Я правильно понимаю, что этих тоже опять Максут Игоревич должен вызволять, пока мужчина со слаломным веслом танцует калинку с крашеной девушкой?