Como atualizar o pacote XZ Utils para eliminar a vulnerabilidade de backdoor?

airtonluciano

Olá!
Tomei conhecimnto da vulnerabilidade detectada no pacote XZ Utils.
The xz package has been backdoored
Xz package contains a vulnerability

Verificando a versão corrente na minha instalação do BigLinux, estou com o pacote afetado:
>xz --version
xz (XZ Utils) 5.6.1
liblzma 5.6.1
>
A verificação de atualizações me diz que o sistema já está atualizado.
Há uma previsão de quando a correção estará disponível ou alguma recomendação enquanto isso?
Muito obrigado!

airtonluciano

Interessante que usando o comando a seguir, me mostra a versão do XZ mais detalha e, aparentemente, já contemplando a correção. Estou correto nessa suposição?

❯ pamac info xz
Nome                            : xz
Versão                          : 5.6.1-2
Descrição                       : Library and command line tools
                                  for XZ and LZMA compressed
                                  files
URL                             : https://xz.tukaani.org/xz-utils/
Licenças                        : GPL LGPL custom
Repositório                     : core
Tamanho instalado               : 2,6 MB
Grupos                          : --
Depende de                      : sh
Dependências opcionais          : --
Exigido por                     : base ffmpeg ffmpeg4.4 file gimp
                                  graphicsmagick grub imagemagick
                                  imlib2 kmod lib32-xz libarchive
                                  libelf libtiff libunwind
                                  libxml2 libxmlb libxslt ostree
                                  raptor squashfs-tools
                                  squashfuse systemd systemd-libs
                                  zstd
Opcional para                   : mkinitcpio python
Fornece                         : liblzma.so=5-64
Substitui                       : --
Conflita com                    : --
Empacotador                     : Frederik Schwan
                                  <freswa@archlinux.org>
Data de construção              : qui 28 mar 2024 18:06:56
Data de instalação              : seg 01 abr 2024 08:37:50
Motivo da instalação            : Explicitamente instalado
Validado por                    : Signature
Cópia de segurança dos arquivos : --

dpj

Obrigado por partilhar essa preocupação. Pelo que vi, essa vulnerabilidade é bem séria, afetando a versões mais recentes do pacote “XZ Utils” - uma ferramenta de compressão bastante usada em distros Linux (por exemplo, no Zorin OS a versão é mais defasada - 5.2.5). Teria sido criada, com inteção maliciosa, por um tal de Jia Tan, segundo a Wired. A vulnerabilidade foi descoberta por um engenheiro da Microsoft, Andres Freund. Na verdade não se sabe muito sobre esse Jia Tan, se é um homem, uma mulher ou mesmo um grupo. A história, com ares de espionagem na era moderna, está aqui: https://www.wired.com/story/jia-tan-xz-backdoor/

BIGBRUNO

https://archlinux.org/news/the-xz-package-has-been-backdoored/

O problema não afetou as distribuições derivadas do Arch, por depender de um patch que não é aplicado nessas distribuições, mas de toda forma removeram o código malicioso no pacote xz na versão 5.6.1-2, pelo menos é o que consta nesse link do próprio Arch.

E estamos justamente com essa versão 5.6.1-2 que está corrigida.