(CVE-2024-3094) - >=app-arch/xz-utils-5.6.0: backdoor in release tarballs

[_roman_]

Rein zu Informationszwecke:

Wenn ein stabiles Paket ein Force Downgrade bekommt - wundere ich mich und suche den Bug.

928134 – (CVE-2024-3094) =app-arch/xz-utils-5.6.0, =app-arch/xz-utils-5.6.1: backdoor in release tarballs

bugs.gentoo.org

Den awk Befehl muss ich mir mal anschauen.
Teile des Befehls sind nicht mein Eigentum -> Quelle: https://unix.stackexchange.com/ques...d-all-packages-depended-on-some-other-package

Ich habe für mich beschlossen, alle "offiziellen" Abhänigkeiten durch die gnu toolchain erneut zu schicken. Ob sinnhaft oder nicht, hintefrage ich derzeit nicht. Mein Ryzen 7600X ist mit tmpfs für /var/tmp/portage schnell genug.
Vorschlag für Gentoo User / Feedback gerne willkommen

Sienna_Cichlid /home/roman # emerge -av --oneshot $(equery depends xz-utils|awk '{print " ="$1}')

Ein bisschen ärgerlich, da ich vor 2 Tagen das Profil gewechselt habe und alles durch die gnu toolchain durchgegangen ist. Inkl. "verwanzter" xz-utils Bibliothek.

 

[Namx3]

Hallo leute bitte die version von xz-utils downgraden. Steht auf gentoo wiki und bei gentoo reddit auch.

 

[Shihatsu]

Meine Archs und Debians sind sauber, warum sollte ich irgendwas downgraden?

(Ja mir ist klar das du damit nur Gentoo User meinst...)

 

[Namx3]

Meine Archs und Debians sind sauber, warum sollte ich irgendwas downgraden?

(Ja mir ist klar das du damit nur Gentoo User meinst...)

prüf mal welche version bei arch ist das packet xz utils.
falls bei dir die betroffe version installiert ist von xz utils muss du downgraden dieses packet

 

[Shihatsu]

Es ist die aktuellste Arch version, die seit Donnerstag sauber ist. Selbst wenn es das nicht wäre. müsste ich nicht upgraden und vor allem nicht downgraden. Es gibt keinen SSH Server in den injected werden könnte, und es würde nicht injected werden weil es kein deb oder rpm ist. Es gibt keinen threat vector.

 

[Zyxx]

Mehr Infos dazu auch hier:

XZ Utils backdoor

tukaani.org

xz-utils backdoor situation (CVE-2024-3094)

xz-utils backdoor situation (CVE-2024-3094). GitHub Gist: instantly share code, notes, and snippets.

gist.github.com