Sant'xzorcist, che scacciava la backdoor

Patrono delle librerie open source, dei contributori troppo gentili e di chi guarda i benchmark con sospetto.

Vita

Il 29 marzo 2024 Andres Freund annunciò la CVE-2024-3094: nel codice sorgente della libreria di compressione xz, a partire dalla 5.6.0, era stata nascosta una backdoor. Attraverso una serie di offuscamenti, la compilazione estraeva un file oggetto da un finto file di test e alterava liblzma, aprendo una porta negli accessi SSH. L'aveva introdotta, con pazienza lunga anni, un contributore fidato; fu scoperta per caso, notando qualche millisecondo di troppo.

Preghiera

O Sant'xzorcist, che scacci la backdoor dalla libreria posseduta, dacci occhi per vedere il male nascosto nel codice fidato. Amen.

Come si festeggia

Si festeggia tornando a una versione sana di xz, verificando la catena di fornitura e ringraziando chi nota i millisecondi di troppo.

Contributore troppo gentile, codice da guardare due volte.