Wersja beta Ubuntu 24.04 opóźniona z powodu ataku XZ Open Source

Wydanie Beta Ubuntu 24.04, Noble Numbat, zostało przesunięte na 11 kwietnia 2024 r., tydzień po poprzedniej dacie (4 kwietnia 2024 r.)!

Dzieje się tak z powodu ataku ujawnionego publicznie 29 marca 2024 r.

Osoba atakująca posługująca się pseudonimem „Jia Tan” zainstalowała backdoora w bibliotece liblzma. Jest częścią xz, która tak się składa, że jest zależnością od OpenSSH w Debianie, Ubuntu, Fedorze itp. Backdoor wysyła ukryte polecenia na początku sesji SSH, umożliwiając atakującemu uruchomienie dowolnego polecenie w systemie docelowym bez logowania.

Russ Cox, programista Golang w Google, publikuje stronę zawierającą harmonogram ataku xz open source. Z postu wynika, że napastnik „Jia Tan” zaczął współtworzyć xz od października 2021 r., a od drugiej połowy 2022 r. stał się opiekunem.

Atak rozpoczął się 23.02.2024 i dotyczył Debian Unstable, Ubuntu 24.04 (Dev), Fedora 40 Beta i Fedora Rawhide.

Pulpit Ubuntu 24.04 (Dev).

Debian Unstable wycofał się z wersji xz-utils 5.6.1 do 5.4.5 (5.6.1+naprawdę 5.4.5-1), aby obejść ten problem.

Ubuntu odziedziczyło pakiet od Debiana i zdecydowało się odbudować wszystkie pakiety binarne dla Ubuntu 24.04 po tym, jak kod CVE-2024-3094 został zatwierdzony w xz-utils.

„Canonical nigdy nie przestaje pracować, aby utrzymać Ubuntu na czele bezpieczeństwa, ochrony i niezawodności. W wyniku zdarzenia CVE-2024-3094 53 firma Canonical podjęła decyzję o usunięciu i odbudowaniu wszystkich pakietów binarnych, które zostały zbudowane dla Noble Numbat po zatwierdzeniu kodu CVE-2024-3094 53 w xz-utils (26 lutego) nowo udostępnione środowiska kompilacji.“

W związku z decyzją (patrz Dyskurs dotyczący Ubuntu) wydanie Ubuntu 24.04 Beta jest opóźnione o tydzień!