bk99.de entertain the web since 1997

bk99.de
oss-security · SicherheitKuratiert

Die XZ-Hintertür: Eine halbe Sekunde langer Verdacht

Zusammenfassung

Andres Freund verfolgt ungewöhnliche SSH-Latenz und hohe CPU-Last bis zu einer raffiniert versteckten Hintertür in den XZ- beziehungsweise liblzma-Versionen 5.6.0 und 5.6.1. Andres Freund veröffentlichte seine Warnung am 29. März 2024 auf oss-security.

Ideen

  • Kleine Leistungsabweichungen können den ersten sichtbaren Hinweis auf eine Kompromittierung liefern.
  • Manipulierte Release-Archive können anderen Code enthalten als das öffentlich geprüfte Repository.
  • Unauffällige Testdateien und Buildskripte können gemeinsam eine Nutzlast zusammensetzen.
  • Transitive Bibliotheksabhängigkeiten tragen Angriffe unerwartet bis in sicherheitskritische Dienste.
  • Langfristige soziale Einflussnahme kann technische Schutzmaßnahmen eines Projekts umgehen.
  • Mehrstufige Aktivierungsbedingungen erschweren Analyse und begrenzen unbeabsichtigte Entdeckung.

Einsichten

  • Beobachtbarkeit ist auch eine Sicherheitskontrolle, weil Angriffe selten völlig spurlos arbeiten.
  • Quelloffenheit schützt nur, wenn veröffentlichter Quelltext und ausgelieferte Artefakte nachweisbar übereinstimmen.
  • Unterbesetzte Schlüsselprojekte verwandeln menschliche Überlastung in ein systemisches Lieferkettenrisiko.

Zitate

  • After observing a few odd symptoms around liblzma I figured out the answer. (Andres Freund)

Gewohnheiten

  • Freund prüfte auffällige Laufzeit, CPU-Last und Analysewerkzeuge weiter, obwohl zunächst kein Sicherheitsvorfall feststand.

Fakten

  • Betroffen waren die upstream veröffentlichten XZ-Versionen 5.6.0 und 5.6.1.
  • Die vollständige Hintertür befand sich nicht einfach als lesbarer Code im Git-Repository.
  • Die Aktivierung zielte auf bestimmte x86-64-Linux-Builds mit glibc und DEB- oder RPM-Werkzeugen.

Referenzen

Kritik

  • Die erste Meldung war ein eiliger technischer Lagebericht und noch kein vollständiges Postmortem.
  • Die Hintertür funktionierte nur unter bestimmten Build- und Laufzeitbedingungen, nicht auf jedem XZ-System.

Bemerkungen

  • Die Untersuchung begann mit einer ungefähr halben Sekunde zusätzlicher SSH-Latenz.
  • Der Fall zeigt technische Manipulation und gezielte soziale Einflussnahme als gemeinsamen Angriff.

Empfehlungen

  • Vergleiche veröffentlichte Archive reproduzierbar mit den zugehörigen Repository-Ständen.
  • Alarmiere auf unerklärliche Latenz- und CPU-Abweichungen sicherheitskritischer Dienste.
  • Finanziere und entlaste Maintainer kritischer, weit verbreiteter Bibliotheken.

Ursprüngliche Meldung lesen

Im Webarchiv suchen

Citizen Lab · 2026

AdFection: Wenn eine Werbeanzeige reicht, um Spionagesoftware zu installieren

Citizen Lab und Confiant haben erstmals technisch belegt, dass gezielte Online-Werbung genutzt wird, um Spionagesoftware ohne jeden Klick auf Geräte zu bringen, und nennen das Verfahren AdFection. Die israelische Firma Discover-Tech kaufte dafür Anzeigen über Google, Yandex und andere Werbebörsen und reichte ausgewählte Zielpersonen an Spyware-Anbieter wie Candiru weiter, bei Al Jazeera wurden so mindestens 45 Geräte angegriffen. Die Untersuchung zeigt, wie Echtzeit-Auktionen, Werbe-IDs und fremder Code in Anzeigen zusammen eine Angriffsfläche bilden, gegen die bisher vor allem Werbeblocker helfen.

HN · 2021

Tastendrücken legt eine Bildschirmsperre lahm

Ein ungewöhnlicher Cinnamon-Screensaver-Fehler zeigt, wie massenhafte Eingaben eine sicherheitskritische Desktopkomponente zum Absturz bringen und die Sitzung freilegen können.