Mar 30, 2024, updated at Mar 31, 2024 (UTC)

4226

LINUX - XZ - Backdoor im Kernbestandteil diverser Linux Versionen!

Moin Zusammen,

so wie es aussieht, hat sich in einem nicht unwesentlichen Kernbestandteil von diversen Linux Versionen, wohl ein Backdoor eingeschlichen! 😱

https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhi ...
https://www.openwall.com/lists/oss-security/2024/03/29/4
https://archlinux.org/news/the-xz-package-has-been-backdoored/
https://git.alpinelinux.org/aports/tree/main/xz/APKBUILD#n13
https://security.gentoo.org/glsa/202403-04

😔

Gruss Alex

Please also mark the comments that contributed to the solution of the article

Kommentar vom Moderator Dani am Mar 30, 2024 um 15:29:07 Uhr

Aus dem Titel die Ausrufezeichen entfernt.

Content-Key: 61311217663

Url: https://administrator.de/contentid/61311217663

Printed on: April 30, 2024 at 14:04 o'clock

40 Comments

Latest comment

Der Günter Born hat dazu auch schon den folgenden Artikel geschrieben.

https://www.borncity.com/blog/2024/03/30/linux-backdoor-in-upstream-xz-l ...

Weitere Infos.

https://thehackernews.com/2024/03/urgent-secret-backdoor-found-in-xz.htm ...
https://www.bleepingcomputer.com/news/security/red-hat-warns-of-backdoor ...
https://tarnkappe.info/artikel/linux/backdoor-in-openssh-server-gefunden ...
https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-l ...

Habe gerade mit dem BSI Lagezentrum gesprochen, die bringen demnächst auch eine entsprechende Warnmeldung heraus.

Zitat von @MysticFoxDE:

so wie es aussieht, hat sich im Kernel von diversen Linux Versionen, wohl ein Backdoor eingeschlichen

Sorry, aber die Überschrift und der Text sind doch schon inhaltlich falsch.
Es geht um das Tool "xz" bzw. "liblzma". Das hat mit dem Kernel nichts zu tun, außer, dass du diesen unter anderem mit xz oder lzma komprimieren kannst. Aber es ist keine Backdoor im Kernel! Keine einzige deiner zitierten Quellen schreibt das, weil es eben nicht so ist. Bitte passe deinen Text und die Überschrift an.

Als Backdoor für SSH verwenden kannst du das nach aktuellem, dafür aber verbreiteten Kenntnisstand übrigens auch nur auf Distributionen wie Debian oder Fedora und deren Downstreams, weil die am SSH-Server herumpatchen und dabei irgendwie diese liblzma dort hineinbringen. Distributionen die diese Modifikation am SSH-Server nicht vornehmen sondern den originalen Code der SSH-Autoren benutzen sind auch nicht per SSH angreifbar - z.B. Gentoo oder Arch. Und das, obwohl die als Rolling-Release die betroffenen Versionen von xz zeitnah verbreitet haben.
Viele Distributionen verwenden allerdings alte (oder wie sie es nennen: Stabile) Versionen von xz, die sind ebenfalls nicht betroffen.
Bei Debian SID (worauf manche andere Distributionen basieren) ist es durchgeschlagen, weil irgendwer die Maintainer angebettelt hat dieses Paket in SID zu aktualisieren.

Aber das ist nicht das einzig merkwürdige daran: https://blog.holz.nu/2024/03/29/0.html

Moin @LordGurke,

zur Verteidigung, ich habe meine Aussage lediglich von der folgenden übernommen ...

"Die Library "xz", ein absoluter Kernbestandteil von Linux-Systemen, wurde backdoored!"

... und war dabei wohl etwas zu übereifrig, sorry. 😔

Dennoch ist die Sache damit weniger Lustig.

So jetzt passe ich aber erst die Überschrift an, wenn das soweit noch möglich ist. 😬

Gruss Alex

Moin @LordGurke,

Als Backdoor für SSH verwenden kannst du das nach aktuellem, dafür aber verbreiteten Kenntnisstand übrigens auch nur auf Distributionen wie Debian oder Fedora und deren Downstreams, weil die am SSH-Server herumpatchen und dabei irgendwie diese liblzma dort hineinbringen. Distributionen die diese Modifikation am SSH-Server nicht vornehmen sondern den originalen Code der SSH-Autoren benutzen sind auch nicht per SSH angreifbar - z.B. Gentoo oder Arch. Und das, obwohl die als Rolling-Release die betroffenen Versionen von xz zeitnah verbreitet haben.
Viele Distributionen verwenden allerdings alte (oder wie sie es nennen: Stabile) Versionen von xz, die sind ebenfalls nicht betroffen.

Ja, das ist richtig. Der Felix hat sich bereits die Mühe gemacht und bei LinkedIn, die folgende Liste ...
https://www.linkedin.com/posts/dev-felix-becker_itsecurity-linux-securit ...
... veröffentlicht.

Gruss Alex

Und es betrifft wohl auch nur manche Versionen aus der bereits gegebenen Einschränkung.

Alle stable Debian dürften auch sicher sein.

Moin @LordGurke,

Sorry, aber die Überschrift und der Text sind doch schon inhaltlich falsch.

erledigt, ich hoffe das passt jetzt etwas besser.

Gruss Alex

Zitat von @MysticFoxDE:

Moin @LordGurke,

Sorry, aber die Überschrift und der Text sind doch schon inhaltlich falsch.

erledigt, ich hoffe das passt jetzt etwas besser.

Gruss Alex

Also etwas reißerisch empfinde ich die Überschrift von dir noch immer, auch mit den ganzen Ausrufezeichen 😁

Also etwas reißerisch empfinde ich die Überschrift von dir noch immer, auch mit den ganzen Ausrufezeichen 😁

https://celticchameleon.medium.com/a-sure-sign-of-a-diseased-mind-378f45 ...

lks

Tumbleweed war bis Snapshot 20240328 auch betroffen:

https://news.opensuse.org/2024/03/29/xz-backdoor/

Ich gehe davon aus, dass ich Glück im Unglück habe, da mein Server (Ubuntu 22.04) gar nicht betroffen und auf meinem Client (Tumbleweed) der SSH Daemon inaktiv ist.

Moin,

Habe gerade mit dem BSI Lagezentrum gesprochen, die bringen demnächst auch eine entsprechende Warnmeldung heraus.

nur gut das langes Wochenende ist...

Was heißt dem demnächst bei dem Laden? Weil das letzte Mal wo ich das Wort gehört habe, hat es ca. 3 Wochen gedauert.

Wer auf mehr Details scharf ist, darf hier gerne weiterlesen:
https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
https://boehs.org/node/everything-i-know-about-the-xz-backdoor

Gruß
Dani

Also etwas reißerisch empfinde ich die Überschrift von dir noch immer, auch mit den ganzen Ausrufezeichen 😁

https://nvd.nist.gov/vuln/detail/CVE-2024-3094

Ich denke bei einem CVE Base Score von 10.0, sind die paar Ausrufezeichen durchaus berechtigt.

By the way, wo sind die eigentlich alle hin.
😧
Ähm @Dani, das finde ich jetzt aber nicht ganz so lustig, vor allem dass du alle gelöscht hast!

Moin @Dani,

nur gut das langes Wochenende ist...

Wochenende im Bereich der IT-Security ... der ist auch gut.

Was heißt dem demnächst bei dem Laden?

Keine Ahnung, als ich gestern Vormittag im Lagezentrum angerufen habe, hiess es, die seien schon dran.
Ich habe jetzt nochmal eine Mail dahin geschrieben, mal schauen was zurück kommt.

Weil das letzte Mal wo ich das Wort gehört habe, hat es ca. 3 Wochen gedauert.

Machen Mühlen mahlen eben leider etwas länger, vor allem die der Ämter und Behörden. 🙃
Das ist aber nichts Neues und ist bei den meisten anderen Länder dieser Welt, noch viel schlimmer.

Gruss Alex

Moin Zusammen,

die Heise hat zu dem Thema mittlerweile die folgenden Artikel veröffentlicht.

https://www.heise.de/news/Hintertuer-in-xz-Bibliothek-gefaehrdet-SSH-Ver ...
https://www.heise.de/news/xz-Attacke-Hintertuer-entraetselt-weitere-Deta ...

Gruss Alex

Moin @Lochkartenstanzer,

https://celticchameleon.medium.com/a-sure-sign-of-a-diseased-mind-378f45 ...

🙃

Gruss Alex

Zitat von @MysticFoxDE:

Ich denke bei einem CVE Base Score von 10.0, sind die paar Ausrufezeichen durchaus berechtigt.

Es ist richtig, daß das ein wichtiges Thema ist. Aber ein Ausrufezeichen, wie es in der deutschen Grammatik vorgesehen ist, ist normalerweise ausreichend. Zuviele davon führen dazu, daß es eher als Wichtigmacherei gesehen wird, wie man an manchem Kommentar sieht.

By the way, wo sind die eigentlich alle hin.
😧

Einer ist noch da.

Ähm @Dani, das finde ich jetzt aber nicht ganz so lustig, vor allem dass du alle gelöscht hast!

Sollte das zwischendurch so gewesen sein, wäre das tatsächlich zuviel des Guten gewesen.

Schönen Ostersonnrag noch !!Eins!elf!

lks

Moin @Lochkartenstanzer,

Es ist richtig, daß das ein wichtiges Thema ist. Aber ein Ausrufezeichen, wie es in der deutschen Grammatik vorgesehen ist, ist normalerweise ausreichend.

ja im letzten Jahrtausend war es das mal so, in diesem kann man bei manchen nicht ausreichend davon davor und danach rein packen. 🙃

Zuviele davon führen dazu, daß es eher als Wichtigmacherei gesehen wird, wie man an manchem Kommentar sieht.

Ich finde es eher sehr interessant zu sehen, dass sich manche lediglich über meine Ausrufezeichen aufregen. 😔

Zudem finde ich die Tatsache sehr interessant, dass die letzten 100 Einträgen der WID des BSI's ...

https://wid.cert-bund.de/portal/wid/kurzinformationen

... fast ausschliesslich Linux Systeme betreffen. 😬

So viel zum Thema, nimmt besser Linux, das ist viel sicherer.

Einer ist noch da.

Ja, nachdem ich diesen wieder hinzugefügt habe.

Sollte das zwischendurch so gewesen sein, wäre das tatsächlich zuviel des Guten gewesen.

Hab's überlebt, somit halb so wild. 🤪

Schönen Ostersonnrag noch !!Eins!elf!

Wünsche dir und auch dem Rest, ebenfalls schöne und hoffentlich halbwegs entspannte Ostern.

Ich muss jetzt jedoch noch einbisschen FiBu machen, sonst kommt der Finanzgeier und klaut mir wieder alle hartverdienten Ostereier. 😭

Gruss Alex

Moin,

Aber ein Ausrufezeichen, wie es in der deutschen Grammatik vorgesehen ist, ist normalerweise ausreichend. Zuviele davon führen dazu, daß es eher als Wichtigmacherei gesehen wird, wie man an manchem Kommentar sieht. face-smile

so ist es. Weniger ist mehr oder hast du an Viel hilft viel gedacht?

Einer ist noch da.

Eines am Ende hab ich stehen gelassen. Reicht das nicht?

Gruß
Dani

Moin @Dani,

so ist es. Weniger ist mehr oder hast du an Viel hilft viel gedacht?

Das ist lediglich die "Fuchsian risk scalla syntax", sprich, 1 bis 2 davon = geringes Risiko, 3 bis 4 bedeutet signifikantes Risiko und 5 bis 6 heisst hohes Risiko. 😉

Einer ist noch da.

Eines am Ende hab ich stehen gelassen. Reicht das nicht?

Nachdem ich heute Morgen den Punk am Ende durch ein Ausrufezeichen ersetzt habe, ist auch eins wieder da.

Schwamm drüber, wir nun glaube ich mehr als genug Zeit, für diesen meiner Ansicht nach komplett irrelevanten Punkt verschwendet.

Gruss Alex

Moin Zusammen,

der Felix hat bei LinkedIn vor knapp 30 Minuten wieder ein Update zu diesem Thema veröffentlicht.

An dieser Stelle möchte ich ihm für seine Mühen schon mal einen riesigen Lob und Dank aussprechen. 👏👏👏

https://www.linkedin.com/feed/update/urn:li:activity:7180148463630700544

Gruss Alex

Moin,

Das ist lediglich die "Fuchsian risk scalla syntax", sprich, 1 bis 2 davon = geringes Risiko, 3 bis 4 bedeutet signifikantes Risiko und 5 bis 6 heisst hohes Risiko. 😉

Früher konnten wir so Themen pinnen. Sprich roter Kasten drum rum und es blieb für 1-2 Wochen immer der erste Eintrag. Warum die Funktion gestrichen worden ist, weiß ich ehrlich gesagt nicht mehr. Aber so wie es aktuell ist verschwindet der Thread in der Historie und nicht mal 1/3 wird nach dem langen Wochenende oder Urlaub diese durchschauen.

Nachdem ich heute Morgen den Punk am Ende durch ein Ausrufezeichen ersetzt habe, ist auch eins wieder da.

Hmpf, interessant. Dem gehe ich mal nach.

Gruß,
Dani

Moin @Dani,

Früher konnten wir so Themen pinnen. Sprich roter Kasten drum rum und es blieb für 1-2 Wochen immer der erste Eintrag. Warum die Funktion gestrichen worden ist, weiß ich ehrlich gesagt nicht mehr.

so eine Funktion wäre tatsächlich nicht uninteressant, aber wenn, dann sollte die von den Moderatoren gesteuert werden und nicht von den Usern, die diese wahrscheinlich zu oft für unwichtige Themen missbrauchen würden. 🙃

Aber so wie es aktuell ist verschwindet der Thread in der Historie und nicht mal 1/3 wird nach dem langen Wochenende oder Urlaub diese durchschauen.

Das wäre sehr schaden, denn meiner Ansicht nach sind wir bei der Geschichte haarscharf an einer der bisher grössten IT-Katastrophen drumherum gekommen. Und ob wir diese wirklich überstanden haben, ist zudem alles andere als sicher, da die entsprechenden Akteure denselben Trick, theoretisch auch bei anderen Projekten angewandt haben könnten. 😔

Nachdem ich heute Morgen den Punk am Ende durch ein Ausrufezeichen ersetzt habe, ist auch eins wieder da.

Hmpf, interessant. Dem gehe ich mal nach.

Las bitte die Geschichte mit den Ausrufezeichen gut sein, wir haben für diesen meiner Ansicht nach absolut unwichtigen Kramm, eh schon zu viel Zeit vergeudet.

Gruss Alex

Moin Zusammen,

folgend ein Link zu einem Video zu diesem Thema vom Christopher Kunz (heise).

https://www.linkedin.com/feed/update/urn:li:activity:7179968813751271424 ...

Gruss Alex

Zitat von @MysticFoxDE:

Das wäre sehr schaden, denn meiner Ansicht nach sind wir bei der Geschichte haarscharf an einer der bisher grössten IT-Katastrophen drumherum gekommen. Und ob wir diese wirklich überstanden haben, ist zudem alles andere als sicher, da die entsprechenden Akteure denselben Trick, theoretisch auch bei anderen Projekten angewandt haben könnten. 😔

Das ist übrigens die typische Handschrift von Joe Biden und den dortigen Geheimdiensten. Deren Nummer läuft schon seit den 90ern. Aber das heißt natürlich nicht, daß die anderen (Israel, Russland, China, Nordkorea, etc.) da nicht auch mitmischen. Und organisiertes Verbrechen sollte man da auch nicht ausblenden.

Letztendlich ist es müßig darüber zu spekulieren, wer das jetzt genau war, sondern zeigt einmal mehr, daß open-source genauso anfällig ist, wenn man die Abhängigkeiten und Quellen nicht prüft.

Und es zeigt, wie anfällig die Leute für sozial engineering sind und man sie dazu bringen kann unnötige Bibliotheken einzubinden.

lks

Moin @Lochkartenstanzer,

Das ist übrigens die typische Handschrift von Joe Biden und den dortigen Geheimdiensten. Deren Nummer läuft schon seit den 90ern.

na ja, genaugenommen waren wir in dieser Zeit auch nicht viel besser.
Ich sage nur "Crypto AG". 😔

Gruss Alex

Zitat von @MysticFoxDE:

Moin @Lochkartenstanzer,

Das ist übrigens die typische Handschrift von Joe Biden und den dortigen Geheimdiensten. Deren Nummer läuft schon seit den 90ern.

na ja, genaugenommen waren wir in dieser Zeit auch nicht viel besser.
Ich sage nur "Crypto AG". 😔

Das waren nicht "wir", sondern Bidens Mannschaft.

lks

Moin @Lochkartenstanzer,

Das waren nicht "wir", sondern Bidens Mannschaft.

na ja, genaugenommen haben wir beide recht, den hinter der Rubikon/Crypto AG Geschichte steckte sowohl die CIA ... aber auch massgeblich der BND. 😔

Und für alle die, an denen das Ganze vorbeigegangen ist, folgend ein guter Bericht darüber.
https://www.zdf.de/dokumentation/zdfinfo-doku/operation-rubikon--100.htm ...

Gruss Alex

Moin,
Exploration of the xz backdoor (CVE-2024-3094):
https://github.com/amlweems/xzbot

Gruß,
Dani

Moin Zusammen,

nun ist auch eine offizielle Warnmeldung des BSI draussen.

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2024/202 ...

Leider sind in dieser aktuell jedoch nur ein Teil der betroffenen Linux Versionen gelistet. 😔

Gruss Alex

Moin Zusammen,

ich habe im Netz mittlerweile weitere beunruhigende Infos zu der Geschichte gefunden.
Den so wie es aussieht, hat der vermeintliche Akteur "Jia Tan", der hinter dem hier angesprochenem Backdoor steckt,
bereits schon die V5.4.2 selbst signiert gehabt. 😬

Folgend noch ein Link zu einer interessanten Unterhaltung zu dem Thema ...

https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1068024

... in der ich die folgende Aussage vom "Thorsten Glase" sehr spannend finde.

Sprich, es steht momentan keineswegs sicher, das ein Downgrade der entsprechenden Lib's (5.6.0/5.6.1) auf z.B. 5.4.x, wirklich alle Probleme beseitigt. 😔

Oder hat jemand diesbezüglich schon andere Infos?

Gruss Alex

Moin,

Den so wie es aussieht, hat der vermeintliche Akteur "Jia Tan", der hinter dem hier angesprochenem Backdoor steckt, bereits schon die V5.4.2 selbst signiert gehabt.

Ja, hat bereits 2021 angefangen: https://boehs.org/node/everything-i-know-about-the-xz-backdoor

Oder hat jemand diesbezüglich schon andere Infos?

Da sagt deren Security Tracker etwas anders: https://security-tracker.debian.org/tracker/CVE-2024-3094. Fixed heißt für mich, die genannte Version ist (nun) sauber.

Gruß,
Dani

Moin @Dani,

Oder hat jemand diesbezüglich schon andere Infos?

Da sagt deren Security Tracker etwas anders: https://security-tracker.debian.org/tracker/CVE-2024-3094. Fixed heißt für mich, die genannte Version ist (nun) sauber.

danke für diese Infos. 👍👍👍

Mir fehlt in diesen jedoch immer noch eine Aussage zu einer ganz bestimmten Version und zwar der 5.4.3.

Gruss Alex

Moin @Dani,

Aber so wie es aktuell ist verschwindet der Thread in der Historie und nicht mal 1/3 wird nach dem langen Wochenende oder Urlaub diese durchschauen.

ich fürchte, damit hast du absolut als recht gehabt. 😔

Oder das Thema interessiert nicht wirklich viele, obwohl wir hier meiner Ansicht nach, an einer der bisher grössten IT-Katastrophen, gerade noch so vorbeigeschliddert sind.

Gruss Alex

Naja, das Thema ist schon wichtig, aber sollen wir jetzt alle 5 Minuten einen nichtssagenden Kommentar schreiben ohne mehr Hintergrundwissen zu haben?

Da hilft nur zu schauen, ob was neues kommt und die eigenen Systeme genau zu beobachten, z.B. durch sniffing im Netzwerk ob und wann ssh-Verbindungen aufgebaut werden und diese dann mit eigenen Verbindungen zu vergleichen.

lks

Moin @Lochkartenstanzer,

Naja, das Thema ist schon wichtig, aber sollen wir jetzt alle 5 Minuten einen nichtssagenden Kommentar schreiben ohne mehr Hintergrundwissen zu haben?

Ehrlich gesagt, habe ich bei einem derart kritischen Vorfall, schon mit etwas mehr "Resonanz" gerechnet.
Ich bin mir irgendwie auch ganz sicher, dass mein nächster Post viel mehr Gemühter erhitzen wird, obwohl die Infos darin nicht wirklich ganz so neu sind. 😔

Da hilft nur zu schauen, ob was neues kommt und die eigenen Systeme genau zu beobachten, z.B. durch sniffing im Netzwerk ob und wann ssh-Verbindungen aufgebaut werden und diese dann mit eigenen Verbindungen zu vergleichen.

👍👍👍

Gruss Alex

Moin Zusammen,

zur Info, der BSI hat mittlerweile seine Warnmeldung etwas aktualisiert/ergänzt.

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2024/202 ...

Gruss Alex

Moin Zusammen,

folgend ein Link zu einem Blog mit weiteren detaillierten Infos/Erkenntnissen zu diesem Thema.

https://www.wiz.io/blog/cve-2024-3094-critical-rce-vulnerability-found-i ...

Gruss Alex

Und für alle die, an denen das Ganze vorbeigegangen ist, folgend ein guter Bericht darüber.
https://www.zdf.de/dokumentation/zdfinfo-doku/operation-rubikon--100.htm ...

Gruss Alex

OT:

Hallo

Die Deutschen Medienbetriebe sind seit Jahren reine PR Maschinen der der rot-grünen Ideologie Fraktion. Hat angefangen, als man der Ex-SED Mitarbeiterin die Staatsführung überlassen hat.

Eine der vielen Quellen dazu:
Studie: ARD und ZDF berichten einseitig (Media Tenor) | Prof. Dr. Christian Rieck

Beste Grüsse

Moin @PeterGyger,

Die Deutschen Medienbetriebe sind seit Jahren reine PR Maschinen der der rot-grünen Ideologie Fraktion. Hat angefangen, als man der Ex-SED Mitarbeiterin die Staatsführung überlassen hat.

na ja, das mag schon sein, dass bei uns die Berichterstattung in den Medien nicht immer ganz optimal ist.

Wenn ich mir jedoch die Berichterstattung in anderen Ländern anschaue, vor allem in deren "ÖR's", so haben wir hier in Deutschland, meiner Ansicht nach durchaus eine bunte und halbwegs gesunde Artenvielfalt. 😁

Mir geht aktuell ehrlich gesagt nicht wirklich das Programm der ÖR's auf den Senkel, sondern eher das immer anstandsloser werdende, der ganzen Privatsender. 😔

Gruss Alex

German Information Linux Security

Hotly discussed

End of availability for classic Teams clientDani - 2 Comments

Developer diary: Release 6.1admtech