⬇ Scarica il santino: ·
☀ Oggi si commemora: Il miracolo dei 500 millisecondi (2024)Sant'xzorcist, che scacciava la backdoor
Patrono delle librerie open source, dei contributori troppo gentili e di chi guarda i benchmark con sospetto.
Vita
Il 29 marzo 2024 Andres Freund annunciò la CVE-2024-3094: nel codice sorgente della libreria di compressione xz, a partire dalla 5.6.0, era stata nascosta una backdoor. Attraverso una serie di offuscamenti, la compilazione estraeva un file oggetto da un finto file di test e alterava liblzma, aprendo una porta negli accessi SSH. L'aveva introdotta, con pazienza lunga anni, un contributore fidato; fu scoperta per caso, notando qualche millisecondo di troppo.
Preghiera
O Sant'xzorcist, che scacci la backdoor dalla libreria posseduta, dacci occhi per vedere il male nascosto nel codice fidato. Amen.
Come si festeggia
Si festeggia tornando a una versione sana di xz, verificando la catena di fornitura e ringraziando chi nota i millisecondi di troppo.
Contributore troppo gentile, codice da guardare due volte.