De XZ-factor: sociale kwetsbaarheden in open source projecten

Nieuws
22-05-2024
NCSC
Een Microsoft-consultant ontdekte, min of meer per toeval, dat veelgebruikte open source software was voorzien van een backdoor [1]. Hij vond een backdoor in liblzma, onderdeel van de xz-compressietool.

Artikel: Daniël Sierat – CTI Specialist, Ruben Faber – Strategisch Adviseur Cybersecurity en Bas Schalbroeck – Senior CTI Specialist

Een Microsoft-consultant ontdekte, min of meer per toeval, dat veelgebruikte open source software was voorzien van een backdoor [1]. Hij vond een backdoor in liblzma, onderdeel van de xz-compressietool, een veelgebruikt component binnen het Linux-ecosysteem. Het toeval ontstond doordat de ontdekker een experiment uitvoerde met zijn eigen database tool op een testversie van Linux-distributie Debian Sid. Debian Sid is de ‘unstable’ release van Debian – een zeer recente versie met de nieuwste code, niet bedoeld voor productiesystemen, maar om mee te testen. De ontdekker onderzocht prestatieproblemen op een systeem met de laatste versie van Debian toen het hem opviel dat zijn beheerverbindingen via het SSH protocol langzamer waren dan normaal. Bij het experiment viel op dat de snelheid van de database-tests, specifiek het opzetten van SSH-verbindingen, veel trager was op de nieuwe Debian distributie. Hij stelde uiteindelijk in verder onderzoek vast dat een nieuw stukje software extra checks deed bij het opzetten van een SSH-verbinding. Vervolgens werd duidelijk dat het stukje code met kwaadaardige opzet was toegevoegd, om bij gebruik van een specifieke sleutel SSH toegang te geven op systeem-niveau [2].

De kwaadaardige code was Debian Sid binnengeslopen via een ‘upstream’ code-commit in XZ [1]. Voor het samenstellen (builden) van een Linux-distributie wordt een heleboel software vanuit allerlei open source repositories bij elkaar gezocht. Daarmee werd de in XZ geïntroduceerde code verpakt in de Sid-release van Debian. Ook andere distributies zoals Red Hat [2], OpenSUSE [3], Kali [4], Arch [5] en Ubuntu [6]  bleken de code al te hebben verwerkt in hun ‘unstable’ testversies.


Lees verder op: NCSC

Gerelateerde vacatures

Geïnteresseerd in een carrière bij organisaties in ditzelfde vakgebied? Bekijk hieronder de gerelateerde vacatures en vind de perfecte match voor jou!
Information Security Officer
Top vacature
ABN AMRO Pensioenfonds
In overleg
Senior
Amsterdam
Voor ABN AMRO Pensioenfonds zoeken wij een Information Security Officer. Je bent verantwoordelijk voor het identificeren van beveiligingsrisico’s en het ontwikkelen van passende maatregelen om deze risico’s te verminderen. Zodoende...
Meer lezen Direct solliciteren
Senior Ethisch Hacker - Cybersecurity
Top vacature
EY
Marktconform
Junior, Medior
Amsterdam
Als senior ethisch hacker in het team draag je bij door het proactief identificeren van cybersecurity risico’s en kwetsbaarheden, bedreigingen te monitoren en de effecten van echte aanvallen in de...
Meer lezen Direct solliciteren
Information security officer
Top vacature
Flynth
4.047 - 6.385
Medior, Senior
Arnhem
Je adviseert over informatiebeveiliging en cybersecurity. Je implementeert maatregelen samen met jouw collega’s om Flynth weerbaar te houden tegen dreigingen.
Meer lezen Direct solliciteren
Cyber Security Governance Lead
Top vacature
Stater
Max. 6.500
Medior
Amersfoort
Het CISO-office van Stater houdt Stater cyberveilig! Als onderdeel van de tweede lijn en rapporterend aan de CFRO, werk je nauw samen met IT, het IT Operations Security team en...
Meer lezen Direct solliciteren
Alle vacatures