xz 백도어에 감염되다

xz utils((구) lzma utils)는 압축 유틸이다. 최근 메인테이너 Jia Tan(JiaT75)에 의한 백도어에 감염되었다. 5.6.0 ~ 5.6.1 버전이 해당된다.

타임라인은 [3]에 있는데, 2021년부터 libarchive에 취약점을 심고 몇년간 착실하게 백도어를 넣기 위해 준비해왔던 것으로 보인다.

 

현재 xz 깃허브 리파지토리는 닫힌 상태. 해당 유저와 xz의 원 메인테이너(Lasse Collin, Larhzu)도 정지된 상태다

아카이브는 https://archive.softwareheritage.org/browse/origin/directory/?origin_url=https://github.com/tukaani-project/xz 여기서 볼 수 있다.

 

links

- [1] https://archlinux.org/news/the-xz-package-has-been-backdoored/

- [2] https://news.ycombinator.com/item?id=39866275

- [3] https://boehs.org/node/everything-i-know-about-the-xz-backdoor