Experten halten die Hintertür in liblzma für den bis dato ausgeklügeltesten Supplychain-Angriff. Er erlaubt Angreifern, aus der Ferne Kommandos einzuschleusen.
Durch jahrelange Vorarbeit ist es Angreifern gelungen, den Quellcode der Kompressionssoftware xz zu kompromittieren. Gezielt eingereichte Patches schufen Sicherheitslücken und diese wurden proaktiv in aktuelle Linux-Distributionen eingepflegt. Zum Update auf ein bereinigtes Paket wird dringend geraten.
Die weitverbreiteten Datenkompressionswerkzeuge XZ Utils (früher LZMA Utils) enthalten in Version 5.6 eine Backdoor. Ziel der Backdoor ist nach aktuellem Kenntnisstand eine Kompromittierung von SSH-Servern. Dies wurde gestern auf der oss-security-Mailingliste von Andres Freund nebst einer umfangreichen Analyse des Sachverhalts bekannt gegeben. Durch den Einsatz der Werkzeuge in Linux-Distributionen haben wir hier einen Fall einer Supply-Chain-Attacke. Red Hat hat dem Vorfall die CVE-Nummer CVE-2024-3094 vergeben.
Vorab eine Liste mit weiteren Links:
Dabei wird die Backdoor nur unter bestimmten Bedingungen ausgeführt, wie das FAQ beschreibt. Im Wesentlichen muss argv[0] auf /usr/sbin/sshd gesetzt sein und eine Reihe an Umgebungsvariablen entweder gesetzt oder nicht gesetzt sein. Normalerweise hängt OpenSSH nicht von liblzma ab. Einige Distributoren patchen OpenSSH allerdings so, dass systemd-Notifcations funktioniert, welches wiederum auf liblzma setzt und die Backdoor möglich macht. Technisch werden einige Checks durchgeführt und anschließend mittels IFUNC Bibliotheksaufrufe umgeleitet. Dies betrifft nach aktuellem Stand auch Aufrufe während der Kryptoroutinen bei der SSH-Authentifizierung.
Der Wirkungsweise der Payload ist noch nicht abschließend geklärt. Besonders auch aus diesem Grund wird ein unverzügliches Update angeraten. Im Folgenden einige unverbindliche Faktoren, die eine Verwundbarkeit wahrscheinlich machen. Auf diese Weise kann man priorisieren, welche Systeme zuerst aktualisiert werden sollten.
Versionierte Distros wie z. B. Debian oder RHEL sind nach aktuellem Kenntnisstand mit ihren stabilen Versionen nicht direkt betroffen, da die Versionen 5.6 noch keinen Einzug in das System gefunden haben. Die Testing-Versionen dieser Distros wie z. B. Debian Sid wurden allerdings aktualisiert und sind betroffen.
Rolling-Release-Distros sind naturgemäß auch betroffen, wenn sie schon Version 5.6 in ihre Pakete aufgenommen haben. Dies betrifft zum Beispiel Arch Linux oder Gentoo. Da allerdings einige Distributionen wie Arch Linux OpenSSH nicht gegen liblzma linken, wird die Bibliothek nicht direkt in die Ausführung der Komponenten eingebunden.
Nach aktuellem Stand wird eine Verwundbarkeit besonders kritisch, wenn auf dem betroffenen Host ein öffentlich erreichbarer SSH-Server läuft, da die oben beschriebenen Faktoren ein Laden der Payload auslösen können.
Aufgefallen ist die Backdoor nur durch Zufall durch das Debugging von Performanceproblemen, die durch die Backdoor verursacht wurden. Die Backdoor wurde obfuskiert im Rahmen von Buildskripten untergebracht, sodass aufgrund der Komplexität die Lücken noch nicht direkt aufgefallen sind.
Das Repository hinter xz kann als kompromittiert gesehen werden und ist auch auf GitHub schon gesperrt worden. Auffällig ist, dass die Backdoor in den Tarballs der Releases enthalten war, nicht jedoch im Repository-Dump selber. Auch personell gab es einige Auffälligkeiten, da es vor kurzem einen Maintainerwechsel beim Projekt gab und die Lücken vom neuen Maintainer, der seit 2 Jahren am Projekt mitarbeitet, zumindest begünstigt wurden. Die Art und Weise lässt auch auf ein koordiniertes, von langer Hand geplantes Vorgehen schließen.
Das große Ganze ist ein Paradebeispiel von xkcd 2347 "Dependency". Wir sehen hier Live ein Beispiel einer Supply-Chain-Attacke. Ein kleines, scheinbar unbedeutendendes Projekt wird übernommen, nur um strategisch Commits zu platzieren, die automatisch "flussabwärts" ihren Weg in größere Distributionen finden, die allesamt auf das Projekt setzen. Alles passiert trotz Open Source. Besonders pikant: der Maintainer hat aktiv versucht, die Backdoor-begünstigenden Umgebungsfaktoren, konkret das Umbiegen von Bibliotheksaufrufen mittels ifunc, in Fuzzing-Projekten wie oss-fuzz, die aktiv nach sowas suchen, zu deaktivieren.
Software wird immer bedeutender und benötigt Vertrauen. Dabei ist jetzt schon klar, dass niemand selber solch komplexe Systeme von alleine bauen kann. Aber auch die Kontrolle der Quellen ist eine große Herausforderung. Neue Gesetzgebung wie der geplante Cyber Resilience Act in der EU versuchen in der Industrie Anreize zu schaffen, die Softwarequalität zu erhöhen.
Diese Attacke konnte einigermaßen abgewendet werden, sollte die umfassende Analyse der Payload keine belastenden Neuigkeiten hervorbringen. Eines ist aber auch klar: Die Angreifer studieren das Verhalten der Verteidiger und werden in Zukunft ihre Vorgehensweise dahingehend optimieren, nicht so einfach mehr gefunden zu werden. Es ist also möglich, Backdoors in so ein Ökosystem hineinzuschummeln. Umso besser müssen aber die Identifikations- und Abwehrmöglichkeiten werden, damit solche Angriffe wirksam verhindert werden können.
Du kannst unter Linux entweder auf der Kommandozeile oder mit grafischen Hilfsprogrammen das Passwort Deines Benutzers ändern. Als Root-Benutzer hast Du ausserdem die Möglichkeit, Passwörter für alle Benutzer deines Systems zurückzusetzen.
Nachdem Redis angekündigt hat, künftig die Lizenz zu wechseln, sortiert sich die Open-Source-Community neu: Die Linux Foundation präsentiert den Fork Valkey.
Es handelt sich um Wartungsversionen und die laufen normalerweise schnell und problemlos durch. Die Updates bringen verschiedene Korrekturen und Leistungsverbesserungen in allen unterstützten Versionen von Nextcloud Hub. In Versionsnummern gibt es ab sofort Nextcloud 26.0.13, 27.1.8 sowie 28.0.4. Ich habe es schon mehrmals erwähnt, finde den Mix aus Hub und Versionsnummern echt verwirrend, zumal eine große Versionsnummer nicht zwingend eine große Hub-Nummer repräsentiert. Klar, es ist ein kosmetisches Problem, aber weniger Verwirrung wäre dennoch besser. Nextcloud 26 hat ihr Lebensende […]
Der Beitrag Nextcloud – Updates für Hub 6 und 7 – EOL für Hub 4 ist von bitblokes.de.
Aktuelle Linux-Distributionen sind durch eine Backdoor in der Kompressionssoftware XZ betroffen. Noch sind die genauen Auswirkungen des anspruchsvollen Schadcodes nicht gänzlich bekannt.
Mit Common Voice stellt Mozilla den weltweit größten öffentlichen Datensatz menschlicher Stimmen bereit – kostenlos und für jeden nutzbar. Mozilla hat Version 17.0 seines Datensatzes veröffentlicht.
Der Markt für Spracherkennung wird von den ganz großen Namen kommerzieller Anbieter dominiert: Amazon, Apple, Google, Microsoft. Darum hat Mozilla im Jahr 2017 das Projekt Common Voice gestartet. Mit Common Voice bietet Mozilla eine kostenlose Alternative an, zu der jeder beitragen kann und die jedem zur Verfügung steht. Damit möchte Mozilla Innovation und Wettbewerb in der Sprachtechnologie auf Basis von Maschinenlernen fördern.
Mit dem vor kurzem veröffentlichten Common Voice Corpus 17.0 wächst der deutschsprachige Datensatz von 1.403 auf 1.424 Stunden an. Wer bereits den Common Voice Corpus 16.1 besitzt, kann wie immer auch nur ein sogenanntes Delta Segment mit den Unterschieden zur Vorversion herunterladen. Für Deutsch würde das den Download von 33,4 GB auf 625 MB reduzieren.
Insgesamt deckt Mozilla Common Voice mit der neuen Version jetzt 124 Sprachen mit insgesamt 31.176 aufgenommenen Stunden ab, was Mozilla Common Voice zum vielfältigsten mehrsprachigen Sprachkorpus der Welt macht.
Zum Download der Mozilla Common Voice Datensätze
Der Beitrag Mozilla veröffentlicht Common Voice Corpus 17.0 erschien zuerst auf soeren-hentzschel.at.
Um sicher mit Linux umzugehen, ist eine Kombination aus Lernen und praktischer Erfahrung erforderlich. Das würden die meisten Lehrbücher Dir sagen. Ich sehe das anders. Denn das wichtigste sind meiner Erfahrung nach nur der Wille und die richtige Lebenseinstellung. Wir gehen in diesem Beitrag mal die wichtigsten Punkte durch und danach gebe ich Dir meinen...
Der Beitrag Wie Du richtig gut wirst mit Linux – Diese Zutat benötigst Du erschien zuerst auf MichlFranken.
Wir hören auf euer Feedback. Wir reagieren auf die Community. Wir ändern die Regeln des Frühlingswettbewerbs.
Im Rahmen der Sonderaktion “25 Prozent sparen” bieten wir Ihnen jetzt fünf Wochen lang die Möglichkeit, sich ein besonders günstiges digitales oder Print-Jahresabo des Linux-Magazins…
Das Flatpak-Archiv Flathub weist jetzt nicht überprüfte Apps als solche aus und erhöht damit das Bewusstsein der Gefahren von nicht verifizierten Flatpaks.
Nutzer von Ubuntu und Derivaten wie Linux Mint konnten immer auf das praktische und offizielle Kodi PPA zurückgreifen. Damit konntest Du neuere und weniger verfälschte Versionen von Kodi installieren und nutzen. Allerdings wird das Kodi PPA nun leider eingestellt. Der Aufwand ist laut eigenen Angaben zu hoch. Das Team bedankt sich bei wsnipex, der das PPA so viele Jahre lang gewartet und unzähligen Nutzern unermüdlich zur Verfügung gestellt hat. Nutzt Du das PPA, dann bekommst Du ab sofort also keine […]
Der Beitrag Kodi stellt offizielles Ubuntu PPA ein – Flatpak als Ersatz ist von bitblokes.de.
Zehn Praxisprojekte, 352 Unterrichtseinheiten und über 33 Stunden Videoinhalte: Dieser umfangreiche Online-Kurs bahnt den Weg zur Python-Expertise. Optimal für Neulinge sowie Fortgeschrittene. 20 Prozent Rabatt nur noch bis Sonntag! (Golem Karrierewelt, Python)
The Document Foundation hat gleich zwei Bugfix-Releases gemeinsam veröffentlicht. Das sind genauer gesagt LibreOffice 24.2.2 Community sowie LibreOffice 7.6.6 Community. Beides sind Wartungsversionen, die Bugs ausbessern, um die Qualität und Kompatibilität zu verbessern. Bei LibreOffice 24.2.2 wurden insgesamt 77 Bugs ausgebessert. Du findest beide Versionen ab sofort im Download-Bereich der Projektseite. TDF rät allen Usern, sobald wie möglich zu aktualisieren. Bezüglich Betriebssysteme benötigst Du mindestens Microsoft Windows 7 SP1 und Apple macOS 10.15. Bei Linux kommt es darauf an, ob […]
Der Beitrag LibreOffice 24.2.2 Community und 7.6.6 veröffentlicht ist von bitblokes.de.
Das Packprogramm 7-Zip liegt in einer neuen Version vor.
Die Röhre ist über 400 Meter lang und ermöglicht auch, das Abbiegen zu testen. Sie steht allen Hyperloop-Entwicklern offen. (Hyperloop, Technologie)
In der Welt der Wirtschaftssimulationen gibt es eine Perle, die sowohl Veteranen als auch Neueinsteiger gleichermaßen in ihren Bann zieht: OpenTTD.
Experten des Security-Anbieters Sophos haben ein Benchmark-System zur Einschätzung des Nutzens von Large-Language-Modelle (LLMs) für die Cybersicherheit erstellt.
An der TU Graz finden am 05. und 06. April die jährlichen Grazer Linuxtage statt. Die Open-Source-Konferenz steht dabei in diesem Jahr unter dem Motto „Wolkenfrei“.
Für den GNOME-Desktop gibt es viele Musik-Anwendungen. Wenn es um die Auswahl von Standardanwendungen geht, ist die Situation unklar.
Viele Administratoren sind seit der Übernahme von VMware durch Broadcom verunsichert, was die Zukunft von ESXi betrifft. Proxmox bietet jetzt einen Wizard zum Umstieg.
Auf Google Play wurden mehrere kostenlose Android-VPN-Apps gefunden, die Smartphones ohne Wissen der Anwender in bösartige Proxys verwandeln. Dazu wird Proxylib benutzt. Proxylib infiziert Android-Geräte mit einer Software, die bösartige Aktivitäten wie Werbebetrug, Bot-Nutzung oder gefährlichere Vorgänge wie die Verbreitung von Malware und Phishing-Kampagnen verschleiert. Dabei leitet das Programm den Traffic über die infizierten Android-Geräte. Der Datenverkehr sieht dann legitim aus und es scheint, er stammt aus einer Quelle, die nicht gesperrt ist. Schließlich kommt der Traffic von einer privaten […]
Der Beitrag Kostenlose VPN-Apps auf Google Play machen Smartphones zu Proxys ist von bitblokes.de.
Im Rahmen der Sonderaktion “25 Prozent sparen” bieten wir Ihnen jetzt noch zwei Wochen lang die Möglichkeit, sich ein besonders günstiges digitales oder Print-Jahresabo von LinuxUser…
Anmelden