XZ Utils బ్యాక్డోర్ సప్లై చైన్ అటాక్ సంవత్సరాల క్రితం నుండి ఇలాంటి దుర్బలత్వ సంఘటనను వెలికితీసింది
XZ Utilsలో బ్యాక్డోర్ యొక్క ఇటీవలి వెల్లడి, F-Droidలో డెవలపర్కి, ఓపెన్ సోర్స్ Android యాప్ రిపోజిటరీ, గత సంఘటన యొక్క జ్ఞాపకాలను కదిలించింది. PostgreSQL మెయింటెయినర్ ఆండ్రెస్ ఫ్రూండ్ మార్చి చివరిలో Liblzma (XZ Utils) డేటా కంప్రెషన్ లైబ్రరీలో కనుగొనబడిన బ్యాక్డోర్ గురించి అలారంలను లేవనెత్తారు. ఈ లైబ్రరీ డెవలపర్లచే విస్తృతంగా ఉపయోగించబడుతుంది మరియు వివిధ Linux పంపిణీలలో ముందే ఇన్స్టాల్ చేయబడింది. మొదట్లో SSH ప్రమాణీకరణ బైపాస్ చేయడాన్ని ప్రారంభించాలని భావించారు, తదుపరి పరిశీలనలో ఇది వాస్తవానికి CVE-2024-3094 దుర్బలత్వంగా గుర్తించబడిన రిమోట్ కోడ్ అమలును సులభతరం చేసిందని వెల్లడించింది.
ఓపెన్-సోర్స్ సాఫ్ట్వేర్పై సరఫరా గొలుసు దాడులు అసాధారణం కాదు, కానీ ఈ సంఘటనను వేరుగా ఉంచేది అనేక సంవత్సరాలలో దాని స్పష్టమైన వ్యవధి. F-Droid మెయింటెయినర్ అయిన హాన్స్-క్రిస్టోఫ్ స్టెయినర్, 2020లో ఇదే విధమైన సంఘటనను గుర్తుచేసుకున్నారు. ఆ సందర్భంలో, SQL ఇంజెక్షన్ దుర్బలత్వాన్ని చొప్పించే ప్రయత్నం జరిగింది, అయినప్పటికీ అది విఫలమైంది. రెండు సంఘటనల మధ్య సారూప్యత హానికరమైన కోడ్ను చేర్చడానికి యాదృచ్ఛిక ఖాతాల ద్వారా ఒత్తిడి చేయబడుతుంది.
సమర్పించినవారి ఖాతా యొక్క తదుపరి తొలగింపు కారణంగా, దుర్బలత్వాన్ని చొప్పించే ప్రయత్నం ఉద్దేశపూర్వకంగా జరిగిందని స్టెయినర్ అభిప్రాయపడ్డారు. XZ యుటిల్స్ కేసులో, బ్యాక్డోర్ జియా టాన్ లేదా JiaT75 అనే వ్యక్తికి ఆపాదించబడింది, అతను అధునాతన బెదిరింపు నటుడు సృష్టించిన కల్పిత గుర్తింపు కావచ్చు. ప్రాజెక్ట్లో జియా టాన్ ప్రమేయం అక్టోబరు 2021లో నిర్దోషిగా ప్రారంభమైంది, క్రమంగా 2023 మధ్య నాటికి గణనీయమైన సహకారానికి చేరుకుంది, ఇది బ్యాక్డోర్కు సిద్ధమయ్యే అవకాశం ఉంది.
బ్యాక్డోర్ చివరికి ఫిబ్రవరి 2024లో జోడించబడింది మరియు విస్తృత పంపిణీకి ముందు ఫ్రూండ్ ద్వారా ఒక నెల తర్వాత కనుగొనబడింది. ఎక్స్జెడ్ యుటిల్స్ యొక్క ప్రధాన డెవలపర్ కొల్లిన్ ఈ విషయంపై విచారణ జరుపుతున్నారు. సాఫ్ట్వేర్ సరఫరా గొలుసు భద్రతా నిపుణుడు డాన్ లోరెన్క్ 2022లో పోడ్కాస్ట్లో ఇటువంటి దీర్ఘకాలిక దాడుల గురించి హెచ్చరించాడు, ప్రభుత్వ హ్యాకింగ్ బృందాలు ప్రమేయం ఉండవచ్చని సూచిస్తున్నాయి.
ఇలాంటి సంఘటనలు, బహుశా అదే లేదా వేరే ముప్పు నటులచే ఆర్కెస్ట్రేట్ చేయబడి ఉండవచ్చు, భవిష్యత్తులో బయటపడతాయా అనేది దీర్ఘకాలిక ప్రశ్న. కొల్లిన్ దర్యాప్తును లోతుగా పరిశోధిస్తున్నప్పుడు, XZ Utils బ్యాక్డోర్ యొక్క పరిధి మరియు చిక్కులపై వెలుగునిస్తూ మరిన్ని వివరాలు వెలువడతాయని భావిస్తున్నారు.