MÜNCHEN (IT BOLTWISE) – Forscher haben eine bösartige Backdoor in einem Kompressionstool entdeckt, das seinen Weg in weit verbreitete Linux-Distributionen, einschließlich jener von Red Hat und Debian, gefunden hat.



Forscher haben eine bösartige Backdoor in einem Kompressionstool entdeckt, das in weit verbreitete Linux-Distributionen einschließlich jener von Red Hat und Debian eingedrungen ist. Das Kompressionstool, bekannt als xz Utils, führte den bösartigen Code in den Versionen 5.6.0 und 5.6.1 ein. Es gibt keine bekannten Berichte darüber, dass diese Versionen in irgendwelche Produktionsversionen der großen Linux-Distributionen integriert wurden, doch sowohl Red Hat als auch Debian berichteten, dass kürzlich veröffentlichte Betaversionen mindestens eine der kompromittierten Versionen verwendet haben.

xz Utils führte den schädlichen Code in den Versionen 5.6.0 und 5.6.1 ein, so der Entwickler Andres Freund, der ihn entdeckte. Es gibt keine bekannten Berichte darüber, dass diese Versionen in irgendwelche Produktionsversionen für bedeutende Linux-Distributionen integriert wurden, aber sowohl Red Hat als auch Debian berichteten, dass kürzlich veröffentlichte Beta-Versionen mindestens eine der kompromittierten Versionen verwendet haben – speziell in Fedora Rawhide und den Debian-Test-, Unstable- und Experimental-Distributionen. Auch eine stabile Version von Arch Linux ist betroffen. Diese Distribution wird jedoch nicht in Produktionssystemen verwendet.

Die Backdoor zielte darauf ab, sich in Funktionen einzuschleusen, die von sshd, der Binärdatei, die SSH ermöglicht, verwendet werden. Dies hätte es einem Angreifer ermöglicht, die Authentifizierung zu durchbrechen und unberechtigten Zugriff auf das gesamte System zu erlangen. Trotz der potenziellen Gefahr wurde die Backdoor entdeckt, bevor die kompromittierten Versionen von xz Utils in Produktionsversionen von Linux hinzugefügt wurden, was eine realweltliche Auswirkung verhinderte.

Es scheint, dass diese Backdoor das Ergebnis jahrelanger Planung war. Ein Entwickler, der unter dem Benutzernamen JiaT75 bekannt ist, spielte eine Schlüsselrolle bei der Implementierung der Backdoor. Die bösartigen Änderungen zielten speziell darauf ab, die Authentifizierung durch SSH, ein häufig verwendetes Protokoll für den Fernzugriff auf Systeme, zu stören. Die Backdoor arbeitete, indem sie Code während einer Schlüsselphase des Anmeldeprozesses injizierte.

Da die Backdoor entdeckt wurde, bevor die bösartigen Versionen von xz Utils zu Produktionsversionen von Linux hinzugefügt wurden, „betrifft sie wirklich niemanden in der realen Welt“, sagte Will Dormann, ein leitender Vulnerability-Analyst bei der Sicherheitsfirma Analygence, in einem Online-Interview. „ABER das ist nur, weil sie frühzeitig aufgrund der Nachlässigkeit des bösen Akteurs entdeckt wurde. Wäre sie nicht entdeckt worden, wäre es katastrophal für die Welt gewesen.“

Es wurde berichtet, dass mehrere Apps, die im HomeBrew-Paketmanager für macOS enthalten sind, auf die mit Backdoor versehene Version 5.6.1 von xz Utils angewiesen sind. HomeBrew hat das Tool nun auf Version 5.4.6 zurückgerollt. Die Betreuer haben hier mehr Details verfügbar.

Die ersten Anzeichen der Backdoor wurden in einem Update vom 23. Februar eingeführt, das verschleierten Code hinzufügte, sagten Beamte von Red Hat in einer E-Mail. Ein Update am folgenden Tag enthielt ein bösartiges Installationsskript, das sich in Funktionen einschleuste, die von sshd, der Binärdatei, die SSH funktionieren lässt, verwendet werden. Der schädliche Code befand sich nur in den archivierten Versionen – bekannt als Tarballs –, die stromaufwärts veröffentlicht werden. Sogenannter GIT-Code, der in Repositories verfügbar ist, ist nicht betroffen, obwohl sie sekundäre Artefakte enthalten, die die Injektion während der Build-Zeit ermöglichen. Falls der verschleierte Code, der am 23. Februar eingeführt wurde, vorhanden ist, ermöglichen die Artefakte in der GIT-Version, dass die Backdoor funktioniert.

Die bösartigen Änderungen wurden von JiaT75 eingereicht, einem der beiden Hauptentwickler von xz Utils mit jahrelangen Beiträgen zum Projekt.

„Angesichts der Aktivität über mehrere Wochen ist der Committer entweder direkt beteiligt oder es gab einen ziemlich schwerwiegenden Kompromiss ihres Systems“, schrieb Freund. „Leider scheint letzteres die weniger wahrscheinliche Erklärung zu sein, da sie auf verschiedenen Listen über die ‚Fixes‘ kommunizierten“, die in jüngsten Updates bereitgestellt wurden. Diese Updates und Fixes finden sich hier, hier, hier und hier.

Am Donnerstag bat jemand, der den Namen des Entwicklers verwendete, auf einer Entwicklerseite für Ubuntu darum, dass die kompromittierte Version 5.6.1 in Produktionsversionen aufgenommen wird, weil sie Bugs behebt, die ein Tool namens Valgrind zum Fehlfunktionieren brachten.

„Dies könnte Build-Skripte und Testpipelines unterbrechen, die eine spezifische Ausgabe von Valgrind erwarten, um zu bestehen“, warnte die Person, von einem Konto, das am selben Tag erstellt wurde.

Einer der Betreuer von Fedora sagte am Freitag, dass derselbe Entwickler sie in den letzten Wochen gebeten hatte, Fedora 40, eine Beta-Version, mit einer der kompromittierten Versionen des Tools zu versehen.

„Wir haben sogar mit ihm zusammengearbeitet, um das Valgrind-Problem zu beheben (das sich jetzt herausstellte, dass es durch die von ihm hinzugefügte Backdoor verursacht wurde)“, sagte der Ubuntu-Betreuer. “Er ist seit zwei Jahren Teil des xz-Projekts, fügte alle Arten von Binärtestdateien hinzu, und bei diesem Grad an Raffinesse wären wir selbst bei älteren Versionen von xz misstrauisch, bis das Gegenteil bewiesen ist.”

Die bösartigen Versionen, so die Forscher, stören absichtlich die Authentifizierung, die von SSH durchgeführt wird, einem häufig verwendeten Protokoll für die Verbindung zu Systemen aus der Ferne. SSH bietet robuste Verschlüsselung, um sicherzustellen, dass nur autorisierte Parteien eine Verbindung zu einem Remote-System herstellen können. Die Backdoor ist so konzipiert, dass ein böswilliger Akteur die Authentifizierung brechen und von dort aus unbefugten Zugang zum gesamten System erlangen kann. Die Backdoor funktioniert, indem sie Code während einer Schlüsselphase des Anmeldeprozesses injiziert.

„Ich habe noch nicht genau analysiert, was in dem injizierten Code überprüft wird, um unbefugten Zugang zu ermöglichen“, schrieb Freund. „Da dies in einem präauthentifizierenden Kontext läuft, scheint es wahrscheinlich, irgendeine Form des Zugangs oder eine andere Form der Fernausführung von Code zu ermöglichen.“

In einigen Fällen konnte die Backdoor nicht wie beabsichtigt funktionieren. Die Build-Umgebung auf Fedora 40 enthält beispielsweise Inkompatibilitäten, die verhindern, dass die Injektion korrekt erfolgt. Fedora 40 ist nun zu den Versionen 5.4.x von xz Utils zurückgekehrt.

Xz Utils ist für die meisten, wenn nicht alle Linux-Distributionen verfügbar, aber nicht alle von ihnen enthalten es standardmäßig. Jeder, der Linux verwendet, sollte sofort seinen Distributor kontaktieren, um zu bestimmen, ob sein System betroffen ist. Freund hat ein Skript zur Verfügung gestellt, um zu erkennen, ob ein SSH-System anfällig ist.

Obwohl es letztendlich gelang, die Bedrohung abzuwenden, heben die Ereignisse die anhaltende Notwendigkeit hervor, die Sicherheit von Open-Source-Software sorgfältig zu überwachen und die Authentizität von Softwareupdates zu überprüfen. Benutzer und Entwickler sind angehalten, ihre Systeme zu überprüfen und auf sichere Softwareversionen zu aktualisieren, um sich vor ähnlichen Bedrohungen zu schützen.

Zu den Top-Stories!


Amazon-Trendangebote der letzten 24 Stunden mit bis zu 78% Rabatt (Sponsored)

Angebot
EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner
1.798 Bewertungen
EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner
  • NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
  • VOLLSTÄNDIGE INTERAKTIONEN: Setzen Sie sich auf den Desktop und erleben Sie Eiliks Welt der Emotionen mit nur einer Berührung. Kopf, Bauch und Rücken, die jeweils unterschiedliche Emotionen auslösen. Mit einer Vielzahl von Ausdrücken, die darauf warten, entdeckt zu werden, können Sie es auch anheben oder sanft auf seinen Kopf tippen. Sanft oder temperamentvoll, alles hängt von Ihrer Interaktion ab. Das Beste von allem, keine Notwendigkeit für WiFi oder Bluetooth Verbindungen, einfach einschalten und mit ihm spielen, wann immer Sie wollen.
  • REGELMÄßIGE UPDATES: Dank seiner fortschrittlichen Technologie und häufigen Firmware-Updates bleibt Eilik immer auf dem neuesten Stand und Sie entdecken ständig neue interaktive Inhalte.
  • VIELE FUNKTIONEN: Erleben Sie die vielen Funktionen wie z.B Gesten, Emotionen, Rollenspiele, Tanzmodus oder Timer. Der niedliche Roboter wird zu einem wahren Freund und sorgt für viel Vergnügen.
  • MEHR SPAß: Stellen Sie ihn einfach auf Ihren Schreibtisch und erleben Sie, wie Eilik durch viele vergnügliche Animationen eine wunderbare Atmosphäre schafft. Der ideale Alltagsbegleiter.

Bezahlte Produktplatzierung


Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!
Backdoor in xz Utils bedroht Sicherheit von Linux-Systemen
Backdoor in xz Utils bedroht Sicherheit von Linux-Systemen (Foto: DALL-E, IT BOLTWISE)

Folgen Sie aktuelle Beiträge über KI & Robotik auf Twitter, Telegram, Facebook oder LinkedIn!
Hinweis: Teile dieses Textes könnten mithilfe Künstlicher Intelligenz generiert worden sein. Die auf dieser Website bereitgestellten Informationen stellen keine Finanzberatung dar und sind nicht als solche gedacht. Die Informationen sind allgemeiner Natur und dienen nur zu Informationszwecken. Wenn Sie Finanzberatung für Ihre individuelle Situation benötigen, sollten Sie den Rat von einem qualifizierten Finanzberater einholen. IT BOLTWISE® schließt jegliche Regressansprüche aus.








Die nächste Stufe der Evolution: Wenn Mensch und Maschine eins werden | Wie Futurist, Tech-Visionär und Google-Chef-Ingenieur Ray Kurzweil die Zukunft der Künstlichen Intelligenz sieht
39 Bewertungen
Die nächste Stufe der Evolution: Wenn Mensch und Maschine eins werden | Wie Futurist, Tech-Visionär und Google-Chef-Ingenieur Ray Kurzweil die Zukunft der Künstlichen Intelligenz sieht
  • Die Zukunft von Mensch und MaschineIm neuen Buch des renommierten Zukunftsforschers und Technologie-Visionärs Ray Kurzweil wird eine faszinierende Vision der kommenden Jahre und Jahrzehnte entworfen – eine Welt, die von KI durchdrungen sein wird
  • Kurzweil skizziert in diesem intensiven Leseerlebnis eine Zukunft, in der Mensch und Maschine untrennbar miteinander verbunden sind
  • Eine Zukunft, in der wir unser Bewusstsein auf eine höhere Ebene heben werden, in der wir uns aus virtuellen Neuronen neu erschaffen werden, in der wir länger leben, gesünder und freier sein werden als je zuvor
  • »Eine faszinierende Erkundung unserer Zukunft, die tiefgreifende philosophische Fragen aufwirft
  • « Yuval Noah HarariDank KI eröffnen sich uns in sämtlichen Lebensbereichen ungeahnte Möglichkeiten für Fortschritt, und das in exponentiellem Tempo
Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
123 Bewertungen
Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
  • Künstliche Intelligenz: Expertenwissen gegen Hysterie Der renommierte Gehirnforscher, Psychiater und Bestseller-Autor Manfred Spitzer ist ein ausgewiesener Experte für neuronale Netze, auf denen KI aufbaut
  • Sein topaktuelles Buch über künstliche Intelligenz informiert, klärt auf – und macht klar, dass niemand vorhersehen kann, ob mit KI Rettung oder Untergang auf die Menschheit zukommt
  •  »Wir brauchen nicht darüber nachzudenken, ob eine allgemeine KI irgendwann Bewusstsein hat oder die Menschheit vernichtet – das ist Science Fiction
  • Aber über reale Risiken und Gefahren von böswilligen Menschen, die KI für ihre Zwecke missbrauchen, müssen wir nachdenken – gründlich
  • Und über die Verantwortung der reichsten Unternehmen der Welt auch
KI Exzellenz: Erfolgsfaktoren im Management jenseits des Hypes. Zukunftstechnologien verstehen und künstliche Intelligenz erfolgreich in der Arbeitswelt nutzen. (Haufe Fachbuch)
69 Bewertungen
KI Exzellenz: Erfolgsfaktoren im Management jenseits des Hypes. Zukunftstechnologien verstehen und künstliche Intelligenz erfolgreich in der Arbeitswelt nutzen. (Haufe Fachbuch)
  • Obwohl Künstliche Intelligenz (KI) derzeit in aller Munde ist, setzen bislang nur wenige Unternehmen die Technologie wirklich erfolgreich ein
  • Der Experte für KI-Implementierung im Unternehmen Dr
  • Tawia Odoi erklärt verständlich, was sich hinter KI verbirgt und welche immensen Vorteile sie gegenüber herkömmlicher Software bietet
  • Ihm geht es darum, Berührungsängste abzubauen und KI endlich zu verstehen und anzuwenden
  • Sein Buch zeigt die treibenden Kräfte auf und benennt auch mögliche Hindernisse
Künstliche Intelligenz und Hirnforschung: Neuronale Netze, Deep Learning und die Zukunft der Kognition
38 Bewertungen
Künstliche Intelligenz und Hirnforschung: Neuronale Netze, Deep Learning und die Zukunft der Kognition
  • Wie funktioniert Künstliche Intelligenz (KI) und gibt es Parallelen zum menschlichen Gehirn? Was sind die Gemeinsamkeiten von natürlicher und künstlicher Intelligenz, und was die Unterschiede? Ist das Gehirn nichts anderes als ein biologischer Computer? Was sind Neuronale Netze und wie kann der Begriff Deep Learning einfach erklärt werden?Seit der kognitiven Revolution Mitte des letzten Jahrhunderts sind KI und Hirnforschung eng miteinander verflochten
  • Im Bereich der KI gab es in den letzten Jahren mehrere spektakuläre Durchbrüche, von alphaGo über DALL-E 2 bis ChatGPT, die so bis vor kurzem noch völlig undenkbar waren
  • Doch schon heute arbeiten Forscher an den Innovationen von morgen, wie hybrides maschinelles Lernen oder neuro-symbolische KI
  • Aber was verbirgt sich dahinter überhaupt?Anhand aktueller Forschungsergebnisse und spannender Beispiele aus der Praxis bietet dieses Sachbuch einen verständlichen Einstieg in die Grundlagen und Herausforderungen dieser faszinierenden Disziplinen
  • Sie erfahren, was Neurowissenschaft und Psychologie über die Funktionsweise des Gehirns wissen und wie Künstliche Intelligenz arbeitet
Künstliche Intelligenz und der Sinn des Lebens: Ein Essay
1.277 Bewertungen
Künstliche Intelligenz und der Sinn des Lebens: Ein Essay
  • Richard David Precht beschäftigt sich mit den wichtigsten Fragen rund um das Thema »Künstliche Intelligenz« – und bezieht dabei auch die tiefgreifenden gesellschaftlichen Veränderungen durch die aktuelle Krise mit ein
  • Während die drohende Klimakatastrophe und der enorme Ressourcenverbrauch der Menschheit den Planeten zerstört, machen sich Informatiker und Ingenieure daran, die Entwicklung einer Künstlichen Intelligenz voranzutreiben, die alles das können soll, was wir Menschen auch können – nur vielfach »optimierter«
  • Ausgehend von völlig falschen Annahmen soll den Maschinen sogar eine menschenähnliche Moral einprogrammiert werden
  • Richard David Precht macht uns eindringlich klar, dass das nicht möglich ist
  • Denn unser Leben besteht nicht aus der Abfolge vorausberechneter Schritte

Ergänzungen und Infos bitte an die Redaktion per eMail an de-info[at]it-boltwise.de. Da wir bei KI-erzeugten News und Inhalten selten auftretende KI-Halluzinationen nicht ausschließen können, bitten wir Sie bei Falschangaben und Fehlinformationen uns via eMail zu kontaktieren und zu informieren. Bitte vergessen Sie nicht in der eMail die Artikel-Headline zu nennen: "Backdoor in xz Utils bedroht Sicherheit von Linux-Systemen".
Stichwörter Authentication Authentifizierung Backdoor Code Cybersecurity Data Compression Debian Encryption Key Entwickler Fedora KI Künstliche Intelligenz Linux Linux-Distributionen Malicious Code Malware Red Hat Sicherheit Software Vulnerability SSH Verschlüsselung Xz Utils
Alle Märkte in Echtzeit verfolgen - 30 Tage kostenlos testen!


#Abo
Telegram
LinkedIn
Facebook
Twitter
Instagram
#Podcast
YouTube
Spotify
Apple
#Werbung
Shirts
Roboter
Home
Bücher
AI Jobs
Spielzeug
Games
Kinder
Handy

Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Backdoor in xz Utils bedroht Sicherheit von Linux-Systemen" für unsere Leser?

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert



Es werden alle Kommentare moderiert!

Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.

Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.

Du willst nichts verpassen?

Du möchtest über ähnliche News und Beiträge wie "Backdoor in xz Utils bedroht Sicherheit von Linux-Systemen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.

443 Leser gerade online auf IT BOLTWISE®