Backdoor w projekcie xz. Projekty Open Source zagrożone?

Kod pakietu xz, narzędzia do kompresji o otwartych źródłach, od ponad miesiąca był wzbogacony o skrzętnie ukryty backdoor. Pozwalał on, potencjalnie, na zdalne przejęcie kontroli nad komputerem. Sprawę opisuje projekt Openwall.

W piątek 29 marca, Andres Freund opisał (na liście dyskusyjnej oss-security projektu Openwall) osobliwe zachowanie najnowszej wersji biblioteki liblzma, należącej do xz. Jej obecność wywoływała znaczące spowolnienie logowań SSH. Związek serwera SSH z biblioteką liblzma jest pośredni, a relacja między nimi zachodzi wyłącznie w systemach rozszerzających openssh-server o obsługę mechanizmu systemd-notify.

Freund przeanalizował działanie tylnej furtki i odkrył, że niezwykle skomplikowany program przekierowuje obsługę procedury RSA_public_decrypt na kod znajdujący się w backdoorze. Okoliczności, w których tak wywołany złośliwy kod mógłby doprowadzić do ominięcia uwierzytelniania (a więc do zdalnego dostępu) nie są obecnie znane. Wprowadzona furtka jest jednak interesująca z innych powodów: tego, w jaki sposób backdoor pojawia się w bibliotece (nie znajduje się w kodzie!) i tego, jak autor furtki pojawił się w projekcie xz.

Pod koniec skryptu przygotowującego środowisko pod budowanie xz (pliku M4 narzędzia configure) następuje wywołanie operacji wyciągającej dane z nielicznych plików binarnych znajdujących się w źródłach: testowych plikach skompresowanych, wykorzystywanych przez zestaw testów. Dane te to kolejny skrypt, wprowadzający do budowanego kodu złośliwe zmiany. Backdoor nie jest więc widoczny w źródłach. Aby pojawił się w kodzie, musi zajść szereg sprzyjających okoliczności, zachodzących na przykład w systemach budowania Fedory i Debiana.

Autor furtki umieścił kod w binarnych archiwach w repozytorium, służących do testów, a do jego wstrzyknięcia wykorzystał systemy budowania w dystrybucjach. Dzięki temu właściwy kod xz/liblzma jest "czysty". W samym kodzie źródłowym nie ma nic złośliwego. Taka metoda ataku jest bardzo subtelna, wymaga dogłębnej znajomości łańcucha dostaw oprogramowania i sprawia wrażenie wykonanej z arogancją wskazującą na wysokie doświadczenie. Dlaczego arogancją? Bo wprowadzony backdoor zaczął wywoływać błędy valgrinda, które autor… poprawił w kodzie.

Kim więc był autor? Kiepsko skontrolowanym, szeregowym deweloperem w projekcie? Nie. Był… opiekunem projektu(!). Poprzedni właściciel, Lasse Collin, szukał swojego zastępcy/następcy od 2022 roku, ze względu na (jak mówił) kiepską kondycję psychiczną i wypalenie. Nowym, dodatkowym opiekunem został Jia Tan, będący autorem pomniejszych zmian w xz.

Przez ponad rok, Jia Tan wykazywał skromną, acz niewinnie wyglądającą aktywność. Jego działalność była więc obliczona na lata. Pozwala to wysnuć hipotezę, że był opłacany przez jakiś duży podmiot (np. państwo), a także że mógł nie być jedną osobą. Zwłaszcza biorąc pod uwagę sposób wysłania do dystrybucji próśb o aktualizację.

Obecnie konta obu opiekunów są zawieszone, podobnie jak samo repozytorium xz. Zachowanie innych członków projektu, z których żaden nigdy wcześniej nie prowadził szczególnej aktywności osobistej (np. w mediach społecznościowych) także budzi podejrzenia. Skrajną ewentualnością jest tu, że od kilku lat projekt xz nie był de facto prowadzony przez jego oryginalnych opiekunów.

Rodzą się pytania, jak wiele innych projektów open source jest poddawanych tak skomplikowanym operacjom przejęcia i w jak wielu z nich odbywa się to skutecznie. Warto mieć na uwadze, że backdoor w xz został znaleziony przypadkiem, przy okazji szukania czegoś zupełnie innego.