Sicherheitslücke XZ-Komprimierungswerkzeugen führt zu einer dringenden Warnung

Durch diese Sicherheitslücke können SSH-Authentifizierungsprozesse, die von systemd verwaltet werden, gestört werden, was insbesondere die sshd-Dienste betrifft. SSH ist ein kritisches Protokoll für den Fernzugriff auf Systeme und könnte durch diese Schwachstelle beeinträchtigt werden und unter bestimmten Bedingungen die unberechtigte Fernsteuerung von Systemen ermöglichen.

Der eingeschleuste Schadcode ist geschickt versteckt und nur in den herunterladbaren Paketversionen von XZ vollständig integriert, so dass die Git-Distribution frei von dem bösartigen M4-Makro bleibt, das für die Kompilierung des Schadcodes verantwortlich ist. Die Komponenten, die für die Aktivierung des Codes während der Kompilierung notwendig sind, befinden sich jedoch im Git-Repository.

XZ Version 5.6 wurde vor einem Monat veröffentlicht, ein weiteres Update, 5.6.1, folgte drei Wochen später. Bis heute gibt es keine Version 5.6.2, die dieses Problem behebt, so dass Systeme mit diesen Versionen potenziellen Sicherheitsrisiken ausgesetzt sind.

Die Entdeckung dieser Sicherheitslücke hat zu einer Warnung von Red Hat und Debian geführt, in der die Benutzer aufgefordert werden, sicherzustellen, dass ihre Systeme nicht die gefährdeten Versionen der XZ-Dienstprogramme enthalten.

Ausführliche Informationen zu dieser Sicherheitswarnung findest du im Red Hat Blog. Um eure Systeme zu schützen, müsst ihr unbedingt nach den XZ-Versionen 5.6.0 und 5.6.1 suchen und sie sofort entfernen.