Hintertür in xz gefunden - Kann man überhaupt noch einer Software vertrauen, die man nicht selbst geschrieben hat?

xz ist ein unter Linux weit verbreitetes Datenkompressionsformat. Ein Entwickler der Referenzimplementierung xz-utils (https://github.com/tukaani-project/xz) hat vor kurzem eine Hintertür (CVE-2024-3094) eingebaut, mit der in manchen Linux Distributionen sshd kompromittiert werden kann. Bisher wurde noch kein CVE Score zugewiesen, aber ich schätze diese Hintertür als sehr kritisch ein. Bestimmt werden in den nächsten Tagen Heise, Golem, etc. darüber berichten, und vielleicht sogar die Mainstream Medien.

Die Hintertür wurde gefunden, weil der Schadcode Performanceprobleme in sshd verursacht hat. Glücklicherweise sind die betroffenen xz Versionen noch nicht weit verbreitet, da Pakete in vielen Distributionen nur sehr langsam aktualisiert werden. In Arch Linux wurde bereits eine betroffene xz Version ausgeliefert, aber da sshd in Arch Linux kein gz verwendet, ist ein Angriff in diesem Fall nicht möglich.

Dennoch ist dieser Vorfall äußerst besorgniserregend, da die Hintertür von einem xz Entwickler eingebaut wurde, der bereits mehrere Jahre am Projekt beteiligt war und als vertrauenswürdig galt.

Grundsätzlich galt Open Source Software als weniger anfällig für Hintertüren als Closed Source Software. Man ging davon aus, dass Hintertüren in Open Source Software gefunden werden, bevor sie überhaupt veröffentlicht werden, da der Code von vielen unabhängigen Experten überprüft wird. Ein häufig genanntes Beispiel, das diese These untermauern soll, ist ein 2003 gescheiterter Versuch, eine Hintertür in den Linux Kernel einzubauen.

Der aktuelle Vorfall zeigt, dass es sehrwohl möglich ist, Schadcode unentdeckt in weit verbreitete Open Source Software einzubauen. Dies wirft die Frage auf, inwieweit man fremder Software überhaupt noch vertrauen kann.

Seid ihr selbst von dieser Hintertür betroffen? Wie schützt ihr euch? Habt ihr Zweifel an der Sicherheit von Open Source Software? Denkt ihr, dass dieser Vorfall zu einem Umdenken bei der Vertrauenswürdigkeit von Open Source Entwicklern führen wird?

Weitere Informationen
  • https://lwn.net/Articles/967180/
  • https://lwn.net/ml/oss-security/20240329155126.kjjfduxw2yrlxgzm@awork3.anarazel.de/
  • https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094
  • https://archlinux.org/news/the-xz-package-has-been-backdoored/
  • https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/
  • https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
Computer, Software, Linux, Sicherheit, IT, Backdoor, Code, Hacker, Hackerangriff, Informatik, IT-Sicherheit, Open Source, Softwareentwicklung, ssh, Vertrauen, Vertrauensbruch, Exploit, Exploits, IT-Sicherheitsexperte, Schwachstellen, vertrauenswürdig, sshd
Hosting durch zwei Netzwerke?

Guten Abend,

ich habe eine kleine Frage an die Leute, die Erfahrung mit Hosting haben.
Unabhängig ob es ein Gameserver war oder Webspacehosting.
Wichtig dabei ist, dass ihr es am eignen Netzwerk durchgeführt habt und dazu kommen wir zu meiner Frage.

Folgendes:

Ich verwende einen Laptop als Server. Für ihm habe ich auch einige Ports freigegeben, damit er bei Minecraft einen Server hostet und FTP Zugang gewährt für mich und meinem Freund.

Genauso habe ich eine SRV und eine A Eintrag bei meiner TLD zur öffentliche IP-Adresse hinzugefügt und die Subdomain für Minecraft läuft bisher bestens.

Sogar Uptimerobot habe ich auf die IP und Ports gesetzt, dass er die anpingt und einen Uptimestatus Seite dafür bereit stellt.

Nun nach den paar Tagen das er läuft habe ich mir über die Sicherheit Gedanken gemacht.

Bisher habe ich alles einem Netzwerk gehabt und dies in einer Fritz!Box, wo alle Geräte verbunden sind und der auch ans V-DSL angebunden ist. Achtung, ich verwende nicht Exposed Host, weder noch an meinem Gaming PC (selbständige Port UPNP schon), wie auch beim Server Laptop (selbstständige Ports sind aus).

Nun habe ich mir gedacht, mein Netz zu Trennen zwischen dem Server Netzwerk und Hauptrouter und dies hat bisher auch geklappt, ich habe in der zweiten Fritz!Box in den Zugangsdaten die Verbindung vom Hauptrouter angegeben und es am Handy zu Urteilen, hat es Internet-Anbindung mit der gleichen öffentlichen IP-Adresse, aber Intern einen neuen Block statt xxx.xxx.178.xxx hat er nun xxx.xxx.188.xxx.

Um es sich Bildlich vorzustellen:

. Geräte vom Haushalt (178 Block)

V-DSL <===> Fritz!Box #1 ˫

. Fritz!Box #2 <===> Server Laptop (188 Block)

Würdet ihr dies als Sicherer so bezeichnen, oder würdet ihr eine andere Reihung der Verbindungen empfehlen oder gar eine ganz andere Methode. Ich bin offen und lerne gerne dafür dazu.

Vielleicht habt ihr auch sonstige Vorschläge, die zu meinem Schutz auch nützlich sein könnten :)

~ Die Falke in Gutefrage.

Server, Computer, Internet, Internetverbindung, Notebook, Netzwerk, IT, Informationen, Java, Selbstbefriedigung, FTP, Minecraft, AMD, Cybermobbing, DSL, Firewall, Hacking, Hoster, Hosting, Informatik, IP-Adresse, IT-Sicherheit, LAN, Minecraft Server, Netzwerktechnik, Netzwerkverbindung, Port, Router, selfmade, SSD, ssh, Telekom, Telekommunikation, WLAN-Router, xampp, Ping, FTP-Server, portweiterleitung, Server IP, Nvidia GeForce RTX
Wie aktiviere ich X-Frame-Option auf Tomcat Server?

Hallo zusammen

in meiner Firma wurde eine Software eines Drittanbieters massgeschneidert und für uns eingeführt. Eine Funktion der neunen Software. Sie kann iFrames anzeigen. Im Grunde ist es ein Monitoringtool, wie es in der IT oft zur Anwendung kommt. Und dieses Tool kann eben iFrames anzeigen. Nun geht das auch, wenn das iFrame auf eine externe Seite verweist. Wenn wir aber eine Seite in der eigenen Domain (also z.B. intranet) anzeigen wollen, geht das nicht.

mit viel google ich das Problem soweit analysiert, dass ich sagen würde folgendes steht hier an:

  • die X-Frame-Option muss aktiviert werden.

Ich habe auch raus, dass das offenbar auf dem Server gemacht werden muss, auf welchem die Software betrieben wird. Dachte erst das ist eine Browsereinstellung. Auf alle Fälle, ihr dürft raten, krieg ich es nicht hin.

Die Applikation wir auf einem Tomcat / Catalina gefahren und auf Azure gehostet. Wenn ich auf dem Server (Tomcat) unter /usr/local/tomcat/config die web.xml Datei manipuliere (wie durch einige Formen ergooglet) überspielt mir Azure jedes mal das Verzeichnis mit frischen Files. das angepasste web.xml greift somit nie. Ich weiss nicht warum jedes Mal ein frisches Verzeichnis angelegt wird.

auch habe ich einen stackOverflow-Post gefunden bei dem auf das web.config File in Azure verwiesen wird. Nur leider wird nicht erwähnt, wo ich das finden kann (wäre so zu sagen mein zweiter Lösungsansatz). Weiter wird folgendes erwähnt:

"X-Frame-Options is not working when hosted in the Azure app service, it works fine locally, When the run the application ( React + Web API ) locally and I have created an HTML page with an iFrame in it accessing the localhost URL when X-Frame-Options is set to DENY in middleware like below, then it works fine iFrame won't be able to load the site.

app.Use(async (context, next) =>

       {

           context.Response.Headers.Add("X-Frame-Options", "DENY");

           await next();

       });

Same code when hosted and when we put the hosted Azure app service URL in the iFrame, then it iFrame is able to load the app, which is kind of weird."

Problem also erkannt. nur weiss ich nicht, wo ich diese Manipulation vornehmen kann. steh hier total an. Habt ihr eine gute Idee zur Lösung des Problems?

Grüsse euch

Server, Microsoft, Linux, Apache, ssh, Unix, Serverprobleme, azure, tomcat, Apache Server, Catalina

Meistgelesene Fragen zum Thema Ssh