Исходное сообщение
"В библиотеке xz/liblzma выявлен бэкдор, организующий вход че..." Отправлено Аноним, 30-Мрт-24 00:34
Нету в проекте openssh никаких обращений к libsystemd и тем более "методов". Умники-разумники из популярных дистро вместо того, чтобы самим реализовать достаточную часть протокола — вызвать getenv("NOTIFY_SOCKET"), открыть указанный там сокет, написать туда в нужный момент 8 байт ("READY=1\n"), закрыть сокет и вызвать unsetenv() — решили слинковаться с libsystemd ради одной функции, совершающей вышеперечисленные шаги, и притащили в адресное пространство вагон зависимостей этой libsystemd вроде libcurl, liblzma, libmount и ещё десятка чего-то там. Этим бекдор и пользуется, вмешиваясь в работу dynamic linker, о чём довольно подробно написано в рассылке oss-security. Умник №1: https://salsa.debian.org/ssh-team/openssh/-/commit/59d17e908... Умник №2: https://src.fedoraproject.org/rpms/openssh/blob/176421c4e42b... Функция sd_notify() не дёргает liblzma, для бекдора этого не надо. Т. н. "systemd notifications" можно реализовать без libsystemd, и этот протокол применяется не только в systemd (ещё в QEMU). Извращение добавили те дистро, что впатчили сборку с libsystemd. Прежде чем писать, сначала лучше проверяйте сведения.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Нету в проекте openssh никаких обращений к libsystemd и тем более "методов". > Умники-разумники из популярных дистро вместо того, чтобы самим реализовать достаточную > часть протокола — вызвать getenv("NOTIFY_SOCKET"), открыть указанный там сокет, > написать туда в нужный момент 8 байт ("READY=1\n"), закрыть сокет и > вызвать unsetenv() — решили слинковаться с libsystemd ради одной функции, совершающей > вышеперечисленные шаги, и притащили в адресное пространство вагон зависимостей этой libsystemd > вроде libcurl, liblzma, libmount и ещё десятка чего-то там. Этим бекдор > и пользуется, вмешиваясь в работу dynamic linker, о чём довольно подробно > написано в рассылке oss-security. > Умник №1: https://salsa.debian.org/ssh-team/openssh/-/commit/59d17e9085676c56eeb57d66446a5b6849bd9f41 > Умник №2: https://src.fedoraproject.org/rpms/openssh/blob/176421c4e42b13b3e14757461538951db59f6d09/f/openssh-7.4p1-systemd.patch > Функция sd_notify() не дёргает liblzma, для бекдора этого не надо. Т. н. > "systemd notifications" можно реализовать без libsystemd, и этот протокол применяется > не только в systemd (ещё в QEMU). > Извращение добавили те дистро, что впатчили сборку с libsystemd. Прежде чем писать, > сначала лучше проверяйте сведения.
	Введите код, изображенный на картинке: