Die aktuelle Versiond des in Linux-Distros weit verbreiteten Kompressions-Tools XZ Utils kommt mit einer Backdoor https://www.darkreading.com/vulnerabilities-threats/are-you-affected-by-the-backdoor-in-xz-utils, betroffen sind u.a. Nutzer von Debian Testing und OpenSuse Tumbleweed. (Bei letztgenannter erfolgt eine Entschärfung durch XZ-Downgrading bei einem Update durch zypper dup ab 30. März, habe ich gerade selbst überprüft.)
Und wieder einmal stellen wir fest: Open Source ist eine notwendige, aber nicht hinreichende Voraussetzung für Sicherheit.
Vereinzelt nutze ich „Testing“ für spezielle Anwendungen, die anderswo nicht verfügbar sind. Allerdings war und ist „XZ Utils“ nicht darunter. Muss ich mir jetzt trotzdem Sorgen machen?
Betroffen ist das Paket xz-utils in der Version 5.6.0 und 5.6.1. Die Backdoor greift nur dann, wenn ein OpenSSH-Server installiert ist.
Nachtrag:
Laut linuxnews.de sind die Codeänderungen nicht im öffentlichen Repository, d.h. wenn die Anwendung anhand des Quellcodes gebaut wurde, ist diese Backdoor nicht enthalten. Wurde die Anwendung stattdessen anhand des Tarballs gebaut, ist die Backdoor enthalten.
Der bösartige Code findet sich in den Quellcode-Tarballs und ist nicht in den öffentlichen Git-Repositories enthalten.
Arch enthielt den Code, er war aber nie aktiv. Arch verwendet die Integration von xz nicht so wie von der Malware vorgesehen. Zudem checkt der Code auf Debian oder RPM um aktiv zu werden.
Das bedeutet also, dass der Raspberry Pi mit Pihole-Unbound hinter(!) der Fritzbox geschützt ist? Login erfolgt gemäß Anleitung von Bummelstein ja per ssh.
Sieht zumindest bisher so aus - andernfalls müsste eine Verbindung zu einem externen Server hergestellt werden. Heise sagt dazu:
Nach bisherigem Kenntnisstand leitet sie eine Funktion aus dem Anmeldevorgang auf sich um. Konkret landet jeder Versuch, sich mit einem RSA-Public-Key anzumelden via RSA_public_decrypt() im Hintertür-Code. Der analysiert den dazu verwendeten öffentlichen Schlüssel und extrahiert daraus Kommandozeilenbefehle, die er auf dem Server ausführt.
Wenn der OpenSSH-Server nicht offen aus dem Internet erreichbar ist, dann ist das Risiko praktisch bei Null. Geräte im gleichen Netz könnten natürlich ein gewisses Risiko darstellen, aber danach sieht es aktuell nicht aus.
Dann verwendest du höchstwahrscheinlich Debian Stable und bist davon sowieso nicht betroffen.
