XZ Utils backdoor

Në shkurt 2024, një derë e pasme me qëllim të keq u prezantua në ndërtimin e Linux të programit xz brenda bibliotekës liblzma në versionet 5.6.0 dhe 5.6.1 nga një llogari me emrin "Jia Tan". Backdoor i jep një sulmuesi që posedon një çelës privat të veçantë Ed448 aftësitë e ekzekutimit të kodit në distancë në sistemin e prekur Linux. Çështjes i është dhënë numri i Përbashkët i Dobësive dhe Ekspozimeve CVE-2024-3094 dhe i eshte dhene nje note te CVSS prej 10.0, nota me e larte e mundeshme. 

Ndërsa xz është zakonisht i pranishëm në shumicën e shpërndarjeve Linux, në kohën e zbulimit versioni me dyer të pasme nuk ishte vendosur ende gjerësisht në sistemet e prodhimit, por ishte i pranishëm në versionet e zhvillimit të shpërndarjeve kryesore. Dera e pasme u zbulua nga zhvilluesi i softuerit Andres Freund, i cili njoftoi gjetjet e tij më 29 mars 2024.

## Prapavija 
Punonjësi i Microsoft dhe zhvilluesi i PostgreSQL, Andres Freund, raportoje prapavijën pas hetimit të një regresioni të performancës në Debian Sid. Freund vuri re se lidhjet SSH po gjeneronin një sasi të papritur të lartë të përdorimit të CPU-së si dhe po shkaktonin gabime në Valgrind, e cila e solli atë në vëmendjen e shitësve të ndryshëm të programeve kompjuterike. Sulmuesi bëri përpjekje për të errësuar kodin, pasi dera e pasme përbëhet nga faza të shumta që veprojnë së bashku.

Pasi versioni i komprometuar të përfshihet në sistemin operativ, ai ndryshon sjelljen e  serverit SSH të OpenSSH duke abuzuar me bibliotekën systemd, duke i lejuar sulmuesit të fitojë akses administratori.

Një hetim i mëvonshëm zbuloi se fushata për të futur derën e pasme në projektin XZ Utils ishte një kulm i përafërsisht tre vjet përpjekjesh, midis nëntorit 2021 dhe shkurtit 2024,  nga një përdorues që quhej *Jia Tan* dhe pseudonimi JiaT75 qe te fitoj akses në një pozicion besimi brenda projektit. Pas një periudhe presioni mbi themeluesin dhe drejtuesin kryesor për të dorëzuar kontrollin e projektit , *Jia Tan* fitoi pozicionin bashkë-mirëmbajtëse të XZ Utils dhe ishte në gjendje të nënshkruante në versionin 5.6.0, i cili prezantoi backdoor, dhe versioni 5.6.1, i cili rregulloi disa sjellje anormale që mund të ishin të dukshme gjatë testimit të softuerit të sistemit operativ. 

Disa nga pseudonimet e dyshuara të llogarive mimikese me emra përdoruesish si *Jigar Kumar*, *krygorin4545* dhe *misoeater91* . Dyshohet se emrat *Jia Tan*, si dhe autori i supozuar i kodit *Hans Jansen* (për versionet 5.6.0 dhe 5.6.1) janë pseudonime të zgjedhura nga pjesëmarrësit e fushatës. Asnjeri  nuk ka asnjë lloj prezence të dukshme publike në zhvillimin e softuerit përtej disa viteve të shkurtra të fushatës.  

Dera e pasme dallohej për nivelin e saj të sofistikuar dhe për faktin se autori ushtronte një nivel të lartë sigurie operacionale për një periudhë të gjatë kohore, ndërsa punonte për të arritur një pozicion besimi. Studiuesi amerikan i sigurisë Dave Aitel ka sugjeruar se i përshtatet modelit që i atribuohet APT29, një aktor i avancuar i kërcënimeve të vazhdueshme që besohet se po punon në emër të SVR-së ruse.  Gazetari Thomas Claburn sugjeroi se mund të jetë çdo aktor shtetëror ose jo-shtetëror me burime të konsiderueshme. 

## Mekanizmi 
Dihet se kodi keqdashës gjendet në versionet 5.6.0 dhe 5.6.1 të paketës softuerike XZ Utils. Shfrytëzimi mbetet i fjetur nëse nuk përdoret një patch specifike e palës së tretë të serverit SSH. Në rrethanat e duhura, kjo ndërhyrje mund t'i mundësojë një aktori keqdashës të thyejë vërtetimin sshd dhe të fitojë akses të paautorizuar në të gjithë sistemin nga distanca.  Mekanizmi me qëllim të keq përbëhet nga dy skedarë testimi të kompresuar që përmbajnë kodin binar me qëllim të keq. Këta skedarë janë të disponueshëm në depon e git, por mbeten të fjetur nëse nuk nxirren dhe injektohen në program.  Kodi përdor mekanizmin glibc `IFUNC` për të zëvendësuar një funksion ekzistues në OpenSSH të quajtur  me një version me qëllim të keq. OpenSSH normalisht nuk ngarkon liblzma, por një patch e zakonshme e palëve të treta e përdorur nga disa shpërndarje Linux e bën atë të ngarkojë libsystemd, i cili nga ana tjetër ngarkon lzma.  Shitësit e softuerit Linux, duke përfshirë Red Hat, SUSE dhe Debian, i kanë rikthyer paketat e prekura në versionet më të vjetra. GitHub çaktivizoi pasqyrat për depon xz përpara se t'i rivendoste ato më pas.

Canonical shtyu lëshimin beta të Ubuntu 24.04 LTS dhe shijet e tij me një javë dhe zgjodhi një rindërtim të plotë binar të të gjitha paketave të shpërndarjes. Megjithëse versioni i qëndrueshëm i Ubuntu ishte i paprekur, versionet në rrjedhën e sipërme ishin. Kjo masë paraprake u mor sepse Canonical nuk mund të garantonte deri në afatin fillestar të lëshimit që porta e pasme e zbuluar nuk ndikoi paketat shtesë gjatë përpilimit.

### Përgjigje më e gjerë 
Shkencëtari kompjuterik Alex Stamos mendoi se "kjo mund të kishte qenë porta e pasme më e përhapur dhe më efektive e vendosur ndonjëherë në ndonjë produkt softuerësh", duke vënë në dukje se nëse dera e pasme do të mbetej e pazbuluar, do t'u kishte dhënë krijuesve të saj një çelës kryesor për cilindo nga qindra miliona. i kompjuterëve në mbarë botën që drejtojnë SSH". Për më tepër, incidenti gjithashtu nisi një diskutim në lidhje me qëndrueshmërinë e varësisë së pjesëve kritike të infrastrukturës kibernetike nga vullnetarët e papaguar.

## Shënime 
a. Dobesia eshte rregulluar mbrenda disa oreve te zbulimit prej rikthimit te nje versioni me te hershem qe dihet te jete i sigurte. 
b. Nese Jia Tan eshte nje grupe personash, nje emer i vertete i nje personi apo nje pseudonim i nje personi te vetem nuk dihet publikisht.

## Referime 

## Lidhje te jashtme 
* 
* Andres Freund's report to the Openwall oss-security mailing list