XZ-Utils zadné vrátka boli nájdené pred viac ako rokom.
Napriek varovaniam ich niektoré Linuxové obrazy stále obsahujú.
Debian neustúpi, pretože obrazy sú „historické artefakty“.
Alespoň 35 Linuxových obrazov hostovaných na Docker Hub obsahuje nebezpečný malvér so zadnými vrátkami, ktorý by mohol ohroziť softvérových vývojárov a ich produkty rizikom prevzatia, krádeže dát, ransomvéru a ďalšieho.
Prinajmenšom niektoré z obrazov však zostanú na stránke a nebudú odstránené, pretože sú aj tak zastarané a nemali by sa používať.
V marci 2024 bola otvorená softvérová komunita ohromená, keď bezpečnostní výskumníci spozorovali „XZ Utils“, škodlivý kód, v upstream xz-utils vydaniach 5.6.0 a 5.6.1 (knižnica liblzma.so), ktoré sa krátko rozšírili do niektorých Linuxových distribučných balíkov (nie ich stabilné vydania). Zadné vrátka vložil vývojár menom ‚Jia Tan‘, ktorý si v priebehu dvoch rokov pred týmto momentom vybudoval značnú dôveryhodnosť v komunite prostredníctvom rôznych príspevkov.
## Debian, Fedora a ďalší
Bezpečnostní výskumníci z Binarly teraz uviedli, že škodlivé xz-utils balíky obsahujúce zadné vrátka boli distribuované v určitých vetvách viacerých Linuxových distribúcií, vrátane Debianu, Fedory a OpenSUSE.
„Toto malo vážne dôsledky pre softvérový dodávateľský reťazec, pretože bolo náročné rýchlo identifikovať všetky miesta, kde bola zahrnutá knižnica so zadnými vrátkami.“
Odborníci z Binarly teraz tvrdia, že niekoľko Docker obrazov, vytvorených približne v čase kompromitácie, tiež obsahuje zadné vrátka. Uvádzajú, že na prvý pohľad by sa to nemuselo zdať alarmujúce, pretože ak boli distribučné balíky so zadnými vrátkami, potom by boli aj všetky Docker obrazy na nich založené.
Výskumníci však uviedli, že niektoré z kompromitovaných obrazov sú stále dostupné na Docker Hub a dokonca boli použité pri vytváraní ďalších obrazov, ktoré boli tiež tranzitívne infikované. Binarly uviedli, že našli „len“ 35 obrazov, pretože sa zamerali výlučne na Debian obrazy.
„Vplyv na Docker obrazy z Fedory, OpenSUSE a ďalších distribúcií, ktoré boli ovplyvnené XZ Utils zadnými vrátkami, zostáva v tejto chvíli neznámy.“
Debian uviedol, že neodstráni škodlivé obrazy, pretože sú aj tak zastarané a nemali by sa používať. Budú ponechané ako „historické artefakty“.
