XZ Utils பேக்டோர் சப்ளை செயின் தாக்குதல் பல ஆண்டுகளுக்கு முன்பு இதே போன்ற பாதிப்பு சம்பவத்தை வெளிப்படுத்துகிறது

XZ Utils இல் உள்ள பின்கதவின் சமீபத்திய வெளிப்பாடு, F-Droid இல் உள்ள டெவலப்பருக்கு ஒரு திறந்த மூல ஆண்ட்ராய்டு பயன்பாட்டுக் களஞ்சியமான கடந்த கால சம்பவத்தின் நினைவுகளைத் தூண்டியுள்ளது. PostgreSQL பராமரிப்பாளர் Andres Freund மார்ச் மாத இறுதியில் Liblzma (XZ Utils) தரவு சுருக்க நூலகத்தில் காணப்படும் பின்கதவு பற்றிய எச்சரிக்கைகளை எழுப்பினார். இந்த நூலகம் டெவலப்பர்களால் பரவலாகப் பயன்படுத்தப்படுகிறது மற்றும் பல்வேறு லினக்ஸ் விநியோகங்களில் முன்பே நிறுவப்பட்டுள்ளது. ஆரம்பத்தில் SSH அங்கீகரிப்பு புறக்கணிப்பை இயக்க நினைத்தது, மேலும் ஆய்வு செய்ததில் இது உண்மையில் CVE-2024-3094 பாதிப்பு என குறிப்பிடப்பட்ட ரிமோட் குறியீடு செயல்படுத்தலை எளிதாக்கியது.

ஓப்பன் சோர்ஸ் மென்பொருளின் மீதான விநியோகச் சங்கிலி தாக்குதல்கள் அசாதாரணமானது அல்ல, ஆனால் இந்த சம்பவத்தை வேறுபடுத்துவது பல வருடங்களாக அதன் வெளிப்படையான கால அளவு. F-Droid பராமரிப்பாளரான Hans-Christoph Steiner, 2020 இல் இதேபோன்ற நிகழ்வை நினைவு கூர்ந்தார். அந்த நிகழ்வில், SQL ஊசி பாதிப்பை நுழைக்க முயற்சி மேற்கொள்ளப்பட்டது, இருப்பினும் அது முறியடிக்கப்பட்டது. இரண்டு சம்பவங்களுக்கிடையிலான ஒற்றுமை, தீங்கிழைக்கும் குறியீட்டைச் சேர்க்க சீரற்ற கணக்குகளால் அழுத்தம் கொடுக்கப்படுகிறது.

சமர்ப்பித்தவரின் கணக்கை தொடர்ந்து நீக்கியதால், பாதிப்பைச் செருகுவதற்கான முயற்சி வேண்டுமென்றே செய்யப்பட்டது என்று ஸ்டெய்னர் நம்புகிறார். XZ Utils வழக்கில், பின்கதவு ஜியா டான் அல்லது JiaT75 என்ற நபருக்குக் காரணம் என்று கூறப்பட்டது, அவர் ஒரு அதிநவீன அச்சுறுத்தல் நடிகரால் உருவாக்கப்பட்ட கற்பனையான அடையாளமாக இருக்கலாம். திட்டத்தில் ஜியா டானின் ஈடுபாடு அக்டோபர் 2021 இல் தீங்கற்ற முறையில் தொடங்கியது, படிப்படியாக 2023 ஆம் ஆண்டின் நடுப்பகுதியில் குறிப்பிடத்தக்க பங்களிப்புகளை அதிகரித்தது, இது பின்கதவுக்கான தயாரிப்பில் சாத்தியமாகும்.

பின்கதவு இறுதியில் பிப்ரவரி 2024 இல் சேர்க்கப்பட்டது மற்றும் பரவலான விநியோகத்திற்கு முன்பு ஒரு மாதம் கழித்து ஃப்ராய்ண்டால் கண்டுபிடிக்கப்பட்டது. XZ Utils இன் முக்கிய டெவலப்பரான Collin, இது தொடர்பாக விசாரணை நடத்தி வருகிறார். மென்பொருள் விநியோகச் சங்கிலி பாதுகாப்பு நிபுணர் டான் லோரென்க், 2022 இல் போட்காஸ்டில் இதுபோன்ற நீண்டகால தாக்குதல்கள் குறித்து எச்சரித்தார், இது அரசாங்க ஹேக்கிங் குழுக்களில் ஈடுபடக்கூடும் என்று பரிந்துரைத்தது.

இதே போன்ற சம்பவங்கள், ஒருவேளை அதே அல்லது வெவ்வேறு அச்சுறுத்தல் நடிகர்களால் திட்டமிடப்பட்டவை, எதிர்காலத்தில் வெளிவருமா என்பது நீடித்த கேள்வி. Collin விசாரணையில் ஆழமாக ஆராயும்போது, XZ Utils பின்கதவின் அளவு மற்றும் தாக்கங்கள் குறித்து வெளிச்சம் போட்டு, கூடுதல் விவரங்கள் வெளிவரும் என எதிர்பார்க்கப்படுகிறது.