Мась, ну сегодня просмотр рилзиков и «Четыре свадьбы» откладывается, у нас тут свои драмы 🔫🕯🧸

Слышал про бэкдор в xz/liblzma?
Ну да, тот самый, который разработчик либы заложил. В миру носит имя CVE-2024-3094, оценен конечно же на десяточку (как я, ты помнишь).

Если коротко, бэкдор бьет в OpenSSH и хакерки благодаря нему могут получить доступ к SSH-серверу без аутентификации. Если длинно, то вот, почитай, я столько букв не осиливаю.

Причем делов наворотили, мама дорогая: бэкдор был в версиях xz 5.6.0 и 5.6.1, а они успели попасть в ТАКОЙ длинный список софта, что ну кроме как «я хз» мне тут сказать больше нечего. Среди них твой любимый арч линух, Debian sid/unstable, Gentoo, Fedora Rawhide и 40-beta и это даже не половина списка.

Что делать? Мась, сесть в угол и рыдать. Ладно, шучу, откатись до версии 5.4.1.

Но «Дом 2» начинается на моменте, когда начали разбираться как же так вышло.
Внедрил бэкдор некто Jia Tan, который работал на проекте целых два года, начиная с версии 5.4.2, с 2022 года. Поэтому и говорю тебе откатиться до 5.4.1. Не спорь и делай что говорю, иначе снова в трубку в ночи томно дышать мне будешь и вовсе не от страсти 😭

Как этот чечек вообще туда попал? А просто предыдущего мэйнтейнера кто-то закибербуллил и он махнул рукой на все, передал проект Jia Tan и свалил в закат на йога-ретрит или куда там разрабы попадают после выгорания.
Дальше началась менеджерская суета, причем не совсем понятно, был ли это театр одного актера или что.

Закончилось все тем, что бэкдор засек сотрудник Microsoft, участвующий в разработке PostgreSQL. Он же и оповестил сообщество.

Мораль сказки, масюш, думай сам. Наверно тут что-то на менеджерском