Email or username:

Password:

Forgot your password?
Who Let The Dogs Out 🐾

#Linux #vulnerability

The xz package, starting from version 5.6.0 to
5.6.1, was found to contain a backdoor. The impact of this vulnerability affected Kali between March 26th to March 29th. If you updated your Kali installation on or after March 26th, it is crucial to apply the latest updates.

If you would like to be sure that you are up to date and not affected by this vulnerability, you can do the following to upgrade your local version of the package: `sudo apt update && sudo apt install -only-upgrade liblzma5`

3 comments
Who Let The Dogs Out 🐾

#Linux #vulnerability

Пакет `xz`, начиная с версии 5.6.0 до
5.6.1 содержал бэкдор. Влияние этой уязвимости затронуло Kali Linux в период с 26 по 29 марта. Если вы обновили установку Kali 26 марта или позже, крайне важно установить последние обновления.

Если вы хотите быть уверены, что у вас установлена ​​последняя версия пакета и что вы не подвержены этой уязвимости, вы можете сделать следующее, чтобы обновить локальную версию пакета: `sudo apt update && sudo apt install -only-upgrade liblzma5`

Who Let The Dogs Out 🐾

#Linux #vulnerability

Бэкдор присутствовал в официальных выпусках xz 5.6.0 и 5.6.1, опубликованных 24 февраля и 9 марта, которые успели попасть в состав некоторых дистрибутивов и репозиториев, например, Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide и 40-beta, openSUSE factory и tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware current, Manjaro testing. Всем пользователям выпусков xz 5.6.0 и 5.6.1 рекомендуется срочно откатиться на версию 5.4.6.
Версия liblzma c бэкдором не успела войти в состав стабильных выпусков крупных дистрибутивов, но затронула openSUSE Tumbleweed и Fedora 40-beta. Arch Linux и Gentoo использовали уязвимую версию xz, но не подвержены атаке, так как не применяют к openssh патч для поддержки systemd-notify, приводящий к связыванию sshd к liblzma. Бэкдор затрагивает только системы x86_64 на базе ядра Linux и Си-библиотеки Glibc.

#Linux #vulnerability

Бэкдор присутствовал в официальных выпусках xz 5.6.0 и 5.6.1, опубликованных 24 февраля и 9 марта, которые успели попасть в состав некоторых дистрибутивов и репозиториев, например, Gentoo, Arch Linux, Debian sid/unstable, Fedora Rawhide и 40-beta, openSUSE factory и tumbleweed, LibreELEC, Alpine edge, Solus, CRUX, Cygwin, NixOS unstable, OpenIndiana, OpenMandriva rolling, pkgsrc current, Slackware current, Manjaro testing. Всем пользователям выпусков xz 5.6.0 и 5.6.1 рекомендуется...

Who Let The Dogs Out 🐾

#Linux #vulnerability #CVE

Всё самое интересное опять случилось ночью, пока вы спали.
Интернет штормит на 10 из 10 по CVE: скомпрометированы примерно все ssh сервера на debian-like, через подломленный репозиторий xz и библиотечку liblzma.
А как так, спросишь ты? openssh никак не используется liblzma. Но есть нюанс: шапка, федора и прочие дебианы патчат openssh для совместимости c нотификациями systemd и вот такая вот петрушка.
Автор кода, молодец каких поискать надо. Мало того что придумал как скомпрометировать проект через тест (то есть код xz чистый и до компиляции всё чинно-благородно), так говорят что он ещё и известный oss-fuzz отучил детектить своё нововведение.

Для любителей циферок: CVE-2024-3094

CISA говорят alarm - cisa.gov/news-events/alerts/20

Репозиторий xz выключен наглухо, а каждый второй судорожно проверяет версию xz, ведь если там 5.6.0 и выше, то надо срочно откатываться.

#Linux #vulnerability #CVE

Всё самое интересное опять случилось ночью, пока вы спали.
Интернет штормит на 10 из 10 по CVE: скомпрометированы примерно все ssh сервера на debian-like, через подломленный репозиторий xz и библиотечку liblzma.
А как так, спросишь ты? openssh никак не используется liblzma. Но есть нюанс: шапка, федора и прочие дебианы патчат openssh для совместимости c нотификациями systemd и вот такая вот петрушка.
Автор кода, молодец каких поискать надо. Мало того что придумал как скомпрометировать...

Go Up