Debian GNU/Linux スレッド Ver.99

公式
https://www.debian.org/index.ja.html

前スレ
Debian GNU/Linux スレッド Ver.98
https://mao.5ch.net/test/read.cgi/linux/1648420389/

WindowsのKB5034441とあわせて
クリーンインストールを推奨されたい

う？
これ、いつのバージョンまで遡ればよいの？
isoだとどれをインストールしたら良いですか
バックドア怖いなあ

https://piyolog.hatenadiary.jp/entry/2024/04/01/035321

これみると、つぎのものが駄目ということか

Debian 2024年2月1日に公開された検証(unstable)バージョン（5.5.1alpha-0.1以降5.6.1-1を含む）

通常バージョンの最新版ならok?

大した理由もなくDebianでTestingやSidを使う意味が全くわからない
余程のワケでもない限りstableでいいんよ
クリティカルなセキュリティリスクでもない限りはOSもソフトもアプデしないほうがいい
常に何でも最新にしたがる人は定期的に何かしらの不具合に悩まされて時間を無駄にするからな
壊れていないのなら直す必要はないって格言を忘れずにいたいものだな

>余程のワケでもない限りstableでいい
ということを十分理解した上で、なお使いたい人が一定数いる
俺は使わないけど

https://gigazine.net/news/20240401-linux-backdoor-xz-utils/

XZ Utilsの悪意のあるバージョンはLinuxの製品版に追加される前に発見されたため、「現実世界のだれにも実際には影響を与えていない」とセキュリティ企業Analygenceの上級脆弱性アナリストのエイル・ドーマン氏は指摘しています。

ただし、ドーマン氏によると「しかし、それは単に攻撃者の不手際により早期発見されただけなので、もしもこれが発見されていなければ世界は大参事に陥っていたことでしょう」とのことです。

バックドアにはXZ Utilsの開発者が関与している可能性を指摘していました。

XZ Utilsのメンターとして開発プロジェクトに積極的に参加することで周囲の信頼を獲得していき、最終的にGitHubリポジトリでコードを直接コミットする権利を獲得したようです。

そのため、XZ UtilsのGitHubリポジトリは記事作成時点では閉鎖されています。

氷山の一角じゃねーかなー
他にもこの手のやつは入り込んでるとみた方がよさげ

昔の話だが、インターネットに接続してない所までどうやってハッキングするんだろうね。
https://business.nikkei.com/atcl/gen/19/00132/042100014/

今回のは手口が分かったけど、凡人には想像出来ない方法で色々やってそう。

まあレビューとかはあっても大半のプロジェクトが人手不足でどこも割とガバガバだからしゃーないな

今回の犯人のコミットとかももsafe_fprintf()を何故かただのfprintf()に書き換えてんのにスルーでそのまんま通ってたり
ワイも参加しはじめの頃わざとじゃないけどバグ修正でめっちゃ基本的な脆弱性含んだ変更したパッチ送っちゃったけど何も言われず即マージされちゃったりとか経験あるし

>>538

> liblzma5: Installed: 5.6.1+really5.4.5-1

これってダウングレードしなくてもアップデートがかかるように
パッケージバージョン番号5.6.1に偽装した中身5.4.5じゃないのかな？
うちのtrixieはdpkg -l liblzma*で見るとそれがインストールされているけどdpkg -L liblzma5で見ると

/usr/lib/aarch64-linux-gnu/liblzma.so.5.4.5

になっている。3/28にアップデートがかかったみたい。
うちの場合はArm環境なので慌てなくても良さそうなんだけど。

Revert back to the 5.4.5-0.2 version
となってるから単に今回の対策版ですね

なんだろうけど彼が関わってるversionなので不十分ではないかという議論が出てる

素人考えだけど、インジェクションだと仕込まれたのチェックするの難しいのかな？
しかし、偶然見つかったから良かったけど、場合によっては阿鼻叫喚の結末だったろうなぁ

こういうのを抑止しようと思ったら刑事罰を課すのが良いのかな?

人の作った仕組みの一部を変えて、って頭いいよね。
気付かれなかったら、何処の国が利用するバックドアだったのだろう。

ソフトにバックドアを仕掛けるのは諜報機関が多いだろな
アメリカイギリスロシア中国のどっかだろ

>>564
チェックされてなかった
信用されてたので
3年がかり

このタイミングで動いたのはUbuntuのLTSのメジャーアプデ狙ってたんだろうな
WSLにもうまくすればMacにも影響与えることできただろうし

なんか、今回仕込んだメンテナが複数のディストリに5.6採用しろって働きかけてたってどこかで読んだよ

>>570
これじゃないかな
https://boehs.org/node/everything-i-know-about-the-xz-backdoor

>>567
コミットログのタイムスタンプの痕跡を見るに
中国(UTC+8)からに見せかけたUTC+2/UTC+3(夏時間)エリアの人間じゃないかという分析が出てるね
該当は東欧(EET)とイスラエル・エジプト

>>572
ルーマニアだと諜報というより金だよな

>>569
macはGPLv3排除してるのでプレインストールはされんだろ

今回のバックドアは圧縮ファイルに偽装して埋め込まれたコンパイル済みオブジェクトが実態なので
x86-64 linux以外はどうあがいても攻撃対象にならん

それで思い出したがFreeBSDってLinuxバイナリ互換機能あるよな…

>>575
ソースコードの時点で悪意あるコードを
追加されてると思ったんだけど違うの??

今のところ判明している事実では違う
未知のバックドアがあることは否定しない

>>572
ちょっと調べてみたけどイスラエルはそういうことやる国らしいな…
国をあげてゴリゴリのハッキングのプロ集団を育成とかしてるらしい
もちろん諜報機関の一角として

ちょっと調べるまでもなく敵国に囲まれていればあたりまえ囲まれていなくてもあたりまえ

そも建国の経緯が権利を取り戻すため、つまり敵がいるから出来た国とも言える
大昔のことなんか知らんがな。失効失効
この件に関してだけはアラブの肩持つよ俺は

debianを知っているということは少しは高等教育なり知的職業に携わる人物かと思っていたが…
ソースコードと同じように新聞も読まんと…

>>572
夜型の中国人だろ
Firewall−1擁するイスラエルにしては拙速すぎる

露助に雇われた北チョン工作員

まぁネットの通信とくに国際間はUSAを経由しているからね
スノーデンさんの告発によるまでもなく

でも今回のはきちんとコード確認してるのかな？って確認してただけだったりしてね
そろそろばれるかな？しつこくプッシュしてたらばれるかな？ってやってたけど
誰も気付いてくれなかったからこのままだと大ごとになるからその前に自らばらしただけだったりして

>>586
中国だとやれって言われたらやらないと国家反逆罪
仕方ないからやったけど最後はバレるようにやったとか

>>584
だまれ糞ジャップ

犯人はイスラエル人
という説が出たら、急にスレが荒れだした。

答え合わせ終了だな。

イスラエル人も案外まぬけだ

なんとかして人のせいにする無駄な努力と厚顔無恥さは大小朝鮮の特徴
これだけでは断定できない

>>588-589 💩ウンコリアン💩

（Д`；　） なにこのスレ・・・

犯人はまだ不明でも、犯人が何を考えていたかは手口が語ってる
sshという強固でクリティカルな標的を落とすため、人の目が少ないxzを選んで、裏口から本丸を目指している
xz以外にも同じような半放置状態のプロジェクトが複数、犯人の攻略対象リストに上がっているとみていい

本丸に通じる裏道を作ってしまっていたsystemdの罪は重い

こういうことってこれからは頻発するんかね
困るんですけど

つまりGNUが諸悪の根源

>>594
今までもあったけれど広く知れ渡らなかっただけ

昔からバックドアは作られ続けてたけど、今回は仕込みの時点で一般人にバレたケースってことじゃね？
DARPAからOpenBSDが補助金もらってたり、openssh は時々バックドア見つかったり。
https://ascii.jp/elem/000/001/805/1805397/

ググれば判るけどバックドア作りの名人と言えばCIA
もちろん世界中の諜報機関が当たり前にやってる事なんだろな
俺がその役割の組織に所属してたら当たり前に同じような事をしてると思う
まだバレてないだけで結構な数のバックドア付きのオープンソースコード()製品は多数あるだろ

Flatpakも検証付いてないのは絶対に入れないほうがいいよ
有名なソフトでみんな使ってるから誰かが全て中身を確認し精査してるなんて勘違いはしない方がいい
マジな話で

>>593
systemd?
>>595
GNU?

バックドアがほぼ絶対に近いほど無いと言えるシステムってなんかあるのん？

systemdがxz(liblzma)に依存していて
一部のディストリではopensshをlibsystemdに依存させるアンオフィシャルな改造が入ってるので
それを利用してliblzmaに埋め込まれた不正なコードがsshdに干渉できるようになっている

ネオナチlinuxの ubuntu （バックドアいっぱい）は基本無傷なんだから
犯人の政治的傾向は明白w

>>597
全然違う
その記事はopensshが落とされたとは書いてない

>>602
こういう手口でしか攻略できなかった事が、逆にopensshのコードと開発体制の堅牢さの証明になってるな
systemdの危険性は警告されてたんだから、Debianにsystemdを採用した連中はDevuan勢に謝るべき
一番悪いのはRedHatだが

>>603
💩

>>602
ロギングで圧縮と暗号化がサポートされてるから
lzmaやgcryptが必要になるんだな

>>605
馬鹿は ubuntu でも使ってろw

openssh側にsystemdを直で (libsystemdを使わずソケットベースIPCで) 触るコードが入った模様
https://github.com/openssh/openssh-portable/commit/08f579231cd38a1c657aaa6ddeb8ab57a1fd4f5c

>>608
protocolを直接叩くわけね

>>608
🤔

>>607
🫏🦌💩

https://gigazine.net/news/20240403-timeline-of-xz-open-source-attack/

2024年3月29日に、圧縮ツールの「XZ Utils」に、悪意のあるバックドアが仕込まれていたことが明らかになりました。どのようにバックドアが仕掛けられたのかについて、Googleのエンジニアであるラス・コックスさんが時系列順にまとめました。

>>612
Russ Coxさんこんなことしてるのね

>>612
１．メンテナが鬱っぽいOSSプロジェクトを探す
２．善良なコントリビュータのふりをして潜り込む
３．時間をかけて信頼を得る
４．自作自演で複数垢から「あいつのパッチ早く取り込めよ」とメンテナに圧をかける
５．圧をかけられた鬱病メンテナは潜り込んだ人物を共同メンテナに指名
６．満を持してバックドアを仕込む

これ国家に支援された組織がやってるだろ

次からはもっと手口洗練させるだろうし
バックドアももっとバレにくいの入れるだろうし
こんな攻撃ガンガンやられたら世界中のOSSプロジェクト崩壊するわ

めんどくさいけどDebian Developerの選考手続きが正義なのかな
あれでもガチの悪意ある人間は弾けないだろうが

>>506
自己解決した。
過去スレなんか探しても見つからなかった。
やったのは、phpの古いやつを削除して、phpモジュールを一つづつ更新したらでなくなった。

狙われたのはあるプロジェクト単体ではなく、Linux生態系の脆弱性
コンドームもしないでやりまくるフリーセックス野郎が被害を深刻化させてる

結局ubuntu proとか入っとけば安心なの？
落ちてきたもの入れてるだけの自分にはどうしようもないな

>>618
実際ホモ多いしやっぱそういうとこなんだろうな

>>619
一般利用者の今回の教訓は
開発リリースを使うな
デストリは慎重に選べ
過去にOpenSSLでもあったことで
特段大騒ぎするようなことでもない

>>618
バックドアを発見できたのもオープンソースの利点
企業内のソフトだと一生気付かれないよ

"Given enough eyeballs, all bugs are shallow"
-- Eric Steven Raymond

オープンソースだからこそ仕込めたバックドアを
オープンソースだから発見できたとドヤる
まさにマッチポンプ

人間ってやつは欲望ってもんに翻弄される欠陥経済動物なんだからしょうがあるめえ

最近のWindowsにはOpenSSHもtarもcurlもその他諸々入ってるが、それは検証されてるのか？

板違い

一匹みつかれば100匹はいるみたいに、
このバグは運良く見つかっただけで
他にも凶悪な改悪がいろんな所に潜んでそうな気がする。

>>626
OpenSSHは直接関係ない
systemdのnd-notify対応で
libsystemdをリンクしたからまずかった
Windowsの場合MS提供の公式OpenSSLを使うから
systemd対応してない
WSL2上のOpenSSL使ってる奇特な人は
選んでるデストリ次第では影響が出る可能性ある

>>628
それはこれまでも同じだ
>>624みたいなこと言う人も前からいる
童貞みたいなこと言うのは辞めるんだ

AIでなんとか検知できんもんなの

AIでLinuxカーネルやgccを生成できない
それだけの能力

オープンソースと言っても全ての行を読んでる人なんて稀…というかいるのか？ってレベルだから
ましてやアプデの度に全ての行を読むなんて事に膨大な時間を使う奇特な奴はいないからね
そもそもGitHubのソースからビルド出来ない『再現可能ではない』人気アプリが余りにも多すぎて、オープンソースコードってものを誤解しまくってる人が多いなぁって思ってる
98%オープンソースソースだけどちょっとクローズドな部分もあります😆ってのも多すぎるけど、それは俺からしたらクローズドと何も変わらない

野菜ジュースとかと似てるな

>>633
最初の二行
そんなこと馬鹿げたこと言ってる人いるんだな

>>635
最初はフルオープンソースだけど人気が出て広まり始めたら一部だけをクローズドにするアプリって結構あるぞ
けど大体の人はそういうの気にしてないから誰も何も言わないパターン多い
特にウォレットアプリなんてそのパターンは見飽きるほどに見飽きた

>>636
>>633の後半についてはさほど異議はない
最後の１行がやや二極論過ぎないかと思うが

ソースに目を通して全てを確認してから自分でビルドして…なんて時間かかりすぎて現実的ではないから俺も妥協しちゃうけどね

一部がクローズドってことは特定の環境でしか動かないってことだからなあ

動く動かないの話ではないのでは

末端は降りてきたものを入れるだけだからメンテナーさん頑張ってねとしか言いようがない

>>637はビルドするときに全リンクライブラリのソースも読んでいるのか？すごいな

>>642
どうしてそんな主張してると思った?

>>643
皮肉だよ　どうせ読んでいないよね？というか読めないよね
>>633が書いているように事実上クローズドとたいして変わらないけどな
開発側にやや恩恵があるくらいだよ

id変わったけど642

>>639
動くにはどれも問題なく動くよ
ブラウザとかでもオープンソース歌ってるけど、よく調べたら一部分だけクローズドですってのもあるじゃん
あーいうの卑怯だなっていつも思う
ならオープンソース(一部だけクローズド)ってちゃんと書いとけと言いたいね
というかオープンソース名乗るなと

全部でなければその一部にバックドアなりマルウェアなり仕込めるからね

>>646
バイナリでしか提供されない部分があるということは
バイナリが提供されるOSやアーキテクチャでしか動かないだろ

>>629
systemdがないことがWindowsのメリットだな

ttps://cyberplace.social/@GossiTheDog/112208807973499815

Windowsに含まれるtar.exeがJirのコミットが含まれるバージョンで話題になってる
あと最近エクスプローラが.tar.xzの解凍をサポートしたのでそっちでもなんかあるかも

今はバックドアは塞がれたの

いつまで板違いやってんだ、このペクチョン