Relativno je novo, po mojim logovima 28.2.2024. sam updateao xz na 5.6.0.
Jedan od mainternera xz repoa je injectao backdoor u release tarballove (znači zapakirane releaseove na Github stranici, kod ne postoji u samom repou) u verzijama 5.6.0 i 5.6.1.
Debian i neke diste patchaju openssh da bi podržali auth preko systemd, tako da linkaju openssh na libsystemd, koji onda koristi liblzma odnosno xz. Ne znam detalje kako izvesti napad, ovo je okvirno.
Moja dva stroja gdje imam ssh access su ok, jedan je Arch koji ne linka openssh na liblzma, drugi je Alpine koji ima xz 5.4.5 a i koliko razumijem
musl vjerojatno nije podložan ovom napadu kao glibc, zbog nečega zvanog "glibc IFUNC support".
Uglavnom gadna stvar, čudi me da ova vijest nije više pokrivena, jer je ovo očito sofisticirani napad sa namjerom... U međuvremenu Github je
ugasio xz repo.