XZ Utils Backdoor Supply Chain Attack ले वर्षौं अघिको समान जोखिमको घटनालाई उजागर गर्दछ
XZ Utils मा ब्याकडोरको हालैको खुलासाले F-Droid, खुला स्रोत एन्ड्रोइड एप रिपोजिटरीमा विकासकर्ताको लागि विगतको घटनाको सम्झना जगाएको छ। PostgreSQL संरक्षक एन्ड्रेस फ्रुन्डले मार्चको अन्त्यमा Liblzma (XZ Utils) डाटा कम्प्रेसन लाइब्रेरीमा फेला परेको ब्याकडोरको बारेमा अलार्म उठाए। यो पुस्तकालय विकासकर्ताहरू द्वारा व्यापक रूपमा प्रयोग गरिन्छ र विभिन्न लिनक्स वितरणहरूमा पूर्व-स्थापित हुन्छ। सुरुमा SSH प्रमाणीकरणलाई बाइपास गरेर सक्षम पार्ने सोच थियो, थप छानबिनले पत्ता लगायो कि यसले वास्तवमा CVE-2024-3094 जोखिमको रूपमा नामित रिमोट कोड कार्यान्वयनलाई सहज बनायो।
खुला-स्रोत सफ्टवेयरमा आपूर्ति श्रृंखला आक्रमणहरू असामान्य छैनन्, तर के यो घटनालाई अलग सेट गर्दछ धेरै वर्षहरूमा यसको स्पष्ट अवधि हो। ह्यान्स-क्रिस्टोफ स्टेनर, एक F-Droid संरक्षक, 2020 मा यस्तै घटनाको सम्झना गरे। त्यस उदाहरणमा, SQL इंजेक्शन कमजोरी सम्मिलित गर्ने प्रयास गरिएको थियो, यद्यपि यो असफल भयो। दुर्भावनापूर्ण कोड समावेश गर्न अनियमित खाताहरू द्वारा लागू गरिएको दबाबमा दुई घटनाहरू बीचको समानता छ।
स्टेनरको विश्वास छ कि भेद्यता सम्मिलित गर्ने प्रयास जानाजानी थियो, प्रस्तुतकर्ताको खाता पछि मेटाइयो। XZ Utils मामिलामा, ब्याकडोरको श्रेय Jia Tan, वा JiaT75 नामक व्यक्तिलाई दिइएको थियो, जो एक परिष्कृत खतरा अभिनेताद्वारा सिर्जना गरिएको काल्पनिक पहिचान हुन सक्छ। परियोजनामा Jia Tan को संलग्नता अक्टोबर 2021 मा निर्दोष रूपमा सुरु भयो, बिस्तारै बिस्तारै 2023 को मध्य सम्म महत्त्वपूर्ण योगदानहरूमा बढ्दै, सम्भावित रूपमा ब्याकडोरको लागि तयारीमा।
ब्याकडोर अन्ततः फेब्रुअरी 2024 मा थपिएको थियो र एक महिना पछि Freund द्वारा, व्यापक वितरण अघि पत्ता लगाइएको थियो। कोलिन, XZ Utils को मुख्य विकासकर्ता, यस विषयमा अनुसन्धान गरिरहेको छ। ड्यान लोरेन्क, एक सफ्टवेयर आपूर्ति श्रृंखला सुरक्षा विशेषज्ञ, 2022 मा पोडकास्टमा यस्ता दीर्घकालीन आक्रमणहरूको चेतावनी दिए, सुझाव दिए कि सरकारी ह्याकिंग टोलीहरू संलग्न हुन सक्छन्।
सम्भावित एउटै वा फरक डरलाग्दो कलाकारहरूद्वारा सञ्चालित यस्तै घटनाहरू भविष्यमा देखा पर्छन् कि हुन्न भन्ने लामो प्रश्न हो। कोलिनले अनुसन्धानमा गहिरो खोजी गर्दा, XZ Utils ब्याकडोरको हद र प्रभावहरूमा प्रकाश पार्दै थप विवरणहरू देखा पर्ने आशा गरिन्छ।