#55 Severity 10: Die xz-Backdoor

Am 28. März 2024 wurde die Welt der IT in Alarmbereitschaft
versetzt: Eine Sicherheitslücke des höchsten Schweregrades trieb
ihr Unwesen. Wir arbeiten das Geschehen auf: Was ist passiert? Wie
wirkte sich der schadhafte Code aus? Wie wurde er versteckt? Und
welche Spuren gibt es in Bezug auf den oder die Täter:innen?
CHAPTERS (00:00) Intro (01:09) Mussten wir uns schonmal um ein
Security Issue kümmern? (02:56) Wie wurde das Issue gefunden?
(07:59) Wie wurde die Backdoor eingeschleust? (13:36) Wer ist Jia
Tan? (23:14) Wie wirkt sich die Backdoor aus? (25:16) Schweregrad
(28:00) Was ist eine Supply Chain Attack? (31:19) Was war die
Lösung? (33:36) Was bedeutet das für Open Source? LINKS
https://www.linkedin.com/pulse/major-security-alert-linux-supply-chain-attack-hits-ssh-bise--txj5e/
https://cybersecuritynews.com/upstream-supply-chain-attack/
https://medium.com/@ttbinternetsecurty/impact-of-supply-chain-attack-on-the-security-of-ssh-server-bc503d753dd3
https://www.heise.de/news/Hintertuer-in-xz-Bibliothek-gefaehrdet-SSH-Verbindungen-9671317.html
https://www.openwall.com/lists/oss-security/2024/03/29/4
https://dnip.ch/2024/05/14/spurensuche-jia-tan-xz/
https://www.proofpoint.com/de/threat-reference/supply-chain-attack
https://www.openwall.com/lists/oss-security/2024/03/29/4/1
https://www.cvedetails.com/vulnerability-list/cvssscoremin-9/cvssscoremax-10/vulnerabilities.html
https://www.cvedetails.com/cve/CVE-1999-0002/
https://www.cvedetails.com/cvss-score-charts.php
https://codenotary.com/blog/backdoor-in-upstream-xz
https://dnip.ch/2024/05/14/spurensuche-jia-tan-xz/
https://open.spotify.com/episode/0C04JlCpMFe07C1XCswbZ9?si=MIZ9RetKQ9GaflcHouzsAA&context=spotify%3Ashow%3A1OIFxTivR0D9clY3sZi4rA
https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2024/2024-223608-1032.pdf
https://www.heise.de/hintergrund/Nach-XZ-Backdoor-Open-Source-Software-als-Risiko-oder-strategischer-Vorteil-9692061.html
https://www.akamai.com/de/blog/security-research/critical-linux-backdoor-xz-utils-discovered-what-to-know
https://openwall.com/lists/oss-security/2024/03/29/4
https://pwning.tech/nftables/
https://x.com/fr0gger_/status/1774342248437813525/photo/1
https://dnip.ch/2024/04/02/xz-open-source-ostern-welt-retten
Weiterer Podcast zum Thema:
https://open.spotify.com/episode/0C04JlCpMFe07C1XCswbZ9