الباب الخلفي في xz، بكلام بسيط

يوم الجمعة، لوحِظ أن الدخول عبر SSH على جهاز اختبار صار أبطأ من المعتاد بنصف ثانية. وبالتحقيق ظهر باب خلفي في xz، مكتبة الضغط الموجودة في كل أنظمة Linux تقريبًا. كان مخفيًا في الإصدارين 5.6.0 و5.6.1، وقد يسمح للمهاجم بالدخول عبر SSH على الأنظمة المتأثرة.

افحص نظامك:

xz --version

إذا ظهر 5.6.0 أو 5.6.1، فحدّث الآن حسب إرشادات توزيعتك. الإصدارات المصابة وصلت أساسًا إلى الإصدارات المتجددة والتجريبية، مثل Fedora 40 قبل الإطلاق، وDebian testing وunstable، وKali، وArch. أما إصدارات الخوادم المستقرة مثل Debian stable وUbuntu LTS وRHEL فلم تكن تحملها. معظم خوادم الإنتاج سليمة.

الجزء المخيف ليس الكود. أحدهم قضى نحو عامين ليصبح مشرفًا موثوقًا على المشروع، يساعد متطوعًا مرهقًا، قبل أن يدسّ الباب الخلفي.

دروس لنا جميعًا:

• الإنتاج يعمل بإصدارات مستقرة، لا بأحدث كل شيء.
• مشاريع المصدر المفتوح الصغيرة التي تعتمد عليها جزء من أمانك. اعرف ما هي.
• «شيء صار أبطأ قليلًا» يستحق التحقيق.