• Gianpietro@mastodon.uno
    3·
    8 months ago

    @informapirata @informatica grazie a tutti per la cura e la dedizione. Sistemi casalinghi verificati e al sicuro. Almeno per ora. A tutti noi un motivo in più per riflettere se facciamo abbastanza (economicamente) per sostenere tutto questo.

  • Shimitar@feddit.it
    41·
    7 months ago

    La falla in realtà è stata scoperta abbastanza presto e solo Arch linux e parzialmente Gentoo sono impattati.

    In ogni caso tocca solo i sistemi con SystemD quindi stock gentoo non è vulnerabile. Non so Arch.

    Il vero punto piuttosto è riflettere sulla debolezza della sicurezza sul rilascio di software a tutti i livelli. La falla infatti non è nel repisitory di XZ ma viene iniettata nel tar rilasciato su github per colpa di un contribitor compromesso (o malevolo).

    Curioso anche come la falla utilizzi parte di codice committato, ma inattivo, che viene attivato solo dal tarball che, appunto, è stato compromesso. On pratica clonare il repo è sicuro, fidarsi del TAR su github, no.

    • droliver@feddit.it
      2·
      7 months ago

      La falla ahimé è stata scoperta in anticipo per un’enorme botta di fortuna, da un ricercatore che stava studiando un problema in nessun modo legato alla sicurezza di OpenSSH. Siamo stati molto fortunati e andranno fatti sicuramente molti ragionamenti su come ci si potrà difendere da attacchi di questo tipo.

      “Clonare è sicuro” non è assolutamente detto, parte del payload era nel tar solo perché solitamente meno controllato rispetto al repo, ma è solo stata un’accortezza aggiuntiva degli attaccanti che potrebbero tranquillamente non metterla in pratica. Detto questo dipende tutto da cosa fa il mantainer che usa la dipendenza e da come la integra nella sua codebase.