При сборке OpenSSH с двумя свежими версиями liblzma (5.6.0 и 5.6.1) можно получить себе веселый бэкдор в сервак.

Передаю привет роллинг релизам и советую бежать всем админам проверять версии софта

https://opennet.ru/60877/

UPD: пишут, что openssh не везде линукетяся с liblzma.
В общем, смотрите у себя в дистрибутивах.

Проверяем версию liblzma: lzma --version.
Если меньше 5.6.0 - всё +- норм, если больше - обновляйтесь (откатывайтесь)

Проверяем, собран ли sshd с liblzma: ldd $(command -v sshd) | grep lzma
UPDx3: похоже, это не важно.
Автор ресерча пишет, что

Openssh does not directly use liblzma. However debian and several other
distributions patch openssh to support systemd notification, and libsystemd
does depend on lzma.

UPDx4: у меня к сожалению нет пока живой системы, где можно посмотреть на уязвимый сетап.
Похоже, что проверка через ldd всё же имеет смысл)

UPDx2: ещё пишут, что автор бэкдора уже два года пишет патчи для xz, и кроме того, вовлечен в разработку ещё нескольких проектов, в том числе связанных с xz.
Так что веселье только начинается ;)