« Nous avons eu de la chance » : Ce que la porte dérobée XZ Utils révèle sur la robustesse et les failles des logiciels open source.

Linux vient de passer à côté d’une grave menace de sécurité sous la forme d’une backdoor mystérieuse ajoutée à une bibliothèque clé présente dans de nombreuses distributions. La backdoor a été découverte dans la bibliothèque XZ Utils et aurait pu permettre à un attaquant de compromettre l’authentification SSHD, accordant un accès non autorisé à tout le système à distance. Heureusement, cependant, elle a été repérée avant d’avoir été largement intégrée. XZ est un format de compression de données présent dans presque toutes les distributions Linux, aidant à compresser puis décompresser des formats de fichiers volumineux pour le partage via des transferts de fichiers. « Avec une bibliothèque aussi largement utilisée, la gravité de cette vulnérabilité constitue une menace pour tout l’écosystème Linux », a expliqué l’équipe de Kali Linux dans un avis. « Heureusement, ce problème a été rapidement identifié, limitant significativement son impact ». La backdoor est assez complexe, selon l’analyse d’Akamai. Au lieu de pousser des parties de la backdoor vers le dépôt git public, celles-ci ont été incluses uniquement dans les versions tarball du code source.