‏xz-utils؛ وقتی خطر از خود نگه‌دارنده‌ست

مارس ۲۰۲۴، یه مهندس به اسم Andres Freund متوجه شد اتصال SSH به سرور تستش حدود ۵۰۰ میلی‌ثانیه کندتر شده. همین رو ول نکرد و ته‌توش رو درآورد: یه بک‌دور توی xz-utils، کتابخونهٔ فشرده‌سازی‌ای که تقریباً هر سیستم لینوکسی بهش وابسته‌ست. اگه به نسخه‌های پایدار می‌رسید، به مهاجم روی بخش بزرگی از اینترنت دسترسی root از راه دور می‌داد.

نکته‌ای که نویسنده روش تأکید می‌کنه اینه که این یه باگ نبود، یه ربایش اعتماد بود. یه حساب به اسم Jia Tan از ۲۰۲۱ کم‌کم با پچ‌های منطقی و کمک توی پروژه اعتماد جمع کرد تا کو-مِینتینر شد. بعد بک‌دور رو نه توی سورس گیت، بلکه توی ماکروهای m4 سیستم بیلد گذاشت؛ یعنی سورس روی گیت‌هاب تمیز بود و فقط تاربال انتشار آلوده بود.