XZ vulnerability
Deze presentatie heeft geen slides. Enkel deze outline. Er zijn dus geen downloads of online slides.
- Oktober 2021, “Jia Tan” maakt eerste contributions bij XZ
- April 2022 - Juni 2022, Druk vanuit anderen om patches te mergen in XZ
- Juni 2022, “Jia Tan” krijgt meer rechten
- Sept 2022 - eind 2023 - “Jia Tan” merget achteraf foute patches.
- 2024
- Homepagina wordt overgenomen,
- Jia Tan merget verborgen backdoor binaries
- released 5.6.0
- Gentoo builds falen
- Debian maakt release
- Andres Freund merkt SSH is trager, onderzoekt, vindt de backdoor
- Debian draait release terug.
- Relatie met SSH
- Bij builden van XZ, past het liblzma aan.
- Debian e.a. patchen SSH zodat het met systemd linkt. Systemd linkt weer met liblzma.
-
Ben ik geïnfecteerd?
- Wat doen?
- Altijd updaten!
- Check versie XZ. 5.4.6 en eerder zijn goed. 5.6.1 en later ook.
Links: