# ALERTE SÉCURITÉ LINUX : Une backdoor dans xz **URL:** \ **Category:** Pause Café\ **Created:** [Mars 31, 2024, 1:50 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765 "2024-03-31T13:50:50Z")\ **Posts on this page:** 7\ **Page:** 1
**Author:** ![anon98718352](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/f04885/32.png) [@anon98718352](https://www.debian-fr.org/u/anon98718352)\ **Post date:** [Mars 31, 2024, 1:50 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765/1 "2024-03-31T13:50:50Z")
ALERTE SÉCURITÉ LINUX : Une backdoor dans xz - Point et explications [https://www.linuxtricks.fr/news/10-logiciels-libres/542-alerte-securite-une-backdoor-dans-xz-sous-linux-porte-derobee/](https://www.linuxtricks.fr/news/10-logiciels-libres/542-alerte-securite-une-backdoor-dans-xz-sous-linux-porte-derobee/) Cette alerte ne concerne que debian testing, unstable et experimentale qui ont été retro-gradé pour corriger la problématique, la version stable n’étant pas impacté (voir la vidéo a 10min34s c’est expliqué). [https://www.youtube.com/watch?v=zVn0-G8plvY](https://www.youtube.com/watch?v=zVn0-G8plvY) ---
**Author:** ![dindoun](https://www.debian-fr.org/user_avatar/www.debian-fr.org/dindoun/32/4281_2.png) [@dindoun](https://www.debian-fr.org/u/dindoun)\ **Post date:** [Avril 1, 2024, 1:06 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765/2 "2024-04-01T01:06:08Z")
Salut merci pour l’info Un patch de vérification traine quelque part , probablement dans les mises à jour normales les versions 5.6 de xz-utils sont à mettre à jour vers 5.6.1+really5.4.5-1 A noter que le backdoor vient de l’intégration de ssh avec systemd ( pour ceux qui détestent systemd , voilà une nouvelle raison 🙂 ) quelqu’un peut expliquer ce qu’est valgrind A noter que Bastian Germann [bage@debian.org](mailto:bage@debian.org) , krygorin4545 [krygorin4545@proton.me](mailto:krygorin4545@proton.me) , [misoeater91@tutamail.com](mailto:misoeater91@tutamail.com) , krygorin4545 [krygorin4545@proton.me](mailto:krygorin4545@proton.me), Debian FTP Masters [ftpmaster@ftp-master.debian.org](mailto:ftpmaster@ftp-master.debian.org) ont participé chez debian à la propagation ( sans forcément le savoir : [https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1067708](https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1067708) ) et que Thorsten Glaser [tg@debian.org](mailto:tg@debian.org) a senti un truc pas normal. Une histoire ici :[Everything I know about the XZ backdoor](https://boehs.org/node/everything-i-know-about-the-xz-backdoor) Un peu du travail du découvreur ici : [oss-security - backdoor in upstream xz/liblzma leading to ssh server compromise](https://www.openwall.com/lists/oss-security/2024/03/29/4) Je m’étonne que les versions 5.6.0 soient encore sur debian dans [Index of /debian/pool/main/x/xz-utils](http://ftp.debian.org/debian/pool/main/x/xz-utils/) ---
**Author:** ![nicola](https://www.debian-fr.org/user_avatar/www.debian-fr.org/nicola/32/8969_2.png) [@nicola](https://www.debian-fr.org/u/nicola)\ **Post date:** [Avril 1, 2024, 8:04 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765/3 "2024-04-01T08:04:27Z")
Chez moi, dans Sid, j’ai bien la version 5.4.5. En lisant l’histoire du truc, ça ressemble très fortement à une barbouzerie chinoise. ---
**Author:** ![dindoun](https://www.debian-fr.org/user_avatar/www.debian-fr.org/dindoun/32/4281_2.png) [@dindoun](https://www.debian-fr.org/u/dindoun)\ **Post date:** [Avril 1, 2024, 2:42 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765/4 "2024-04-01T14:42:16Z")
Le nom du trou de sécurité ( 10 sur 10 ) est CVE-2024-3094 ---
**Author:** ![euchcat](https://www.debian-fr.org/user_avatar/www.debian-fr.org/euchcat/32/10035_2.png) [@euchcat](https://www.debian-fr.org/u/euchcat)\ **Post date:** [Avril 2, 2024, 2:29 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765/5 "2024-04-02T14:29:30Z")
Après lecture du lien de dindoun ([oss-security - backdoor in upstream xz/liblzma leading to ssh server compromise](https://www.openwall.com/lists/oss-security/2024/03/29/4)), je pense désinstaller ssh et sshd de debian et compiler pristine openssh9.7p1 à la main… ---
**Author:** ![dindoun](https://www.debian-fr.org/user_avatar/www.debian-fr.org/dindoun/32/4281_2.png) [@dindoun](https://www.debian-fr.org/u/dindoun)\ **Post date:** [Avril 2, 2024, 3:52 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765/6 "2024-04-02T15:52:56Z")
> [@euchcat](#): > > je pense désinstaller ssh et sshd de debian et compiler pristine openssh9.7p1 pas sur que ce soit une bonne idée a priori, si tu es en stable, tu ne t’ai pas fait piraté , il faut être en debian13 ; de plus les patchs sont faits ([http://ftp.debian.org/debian/pool/main/x/xz-utils/xz-utils\_5.6.1+really5.4.5-1\_amd64.deb](http://ftp.debian.org/debian/pool/main/x/xz-utils/xz-utils_5.6.1+really5.4.5-1_amd64.deb)) et il y a un doute sur libarchive, donc tu risques de faire pire. Mais si tu t’y connais et a regardé l’absence du code malveillant dans les sources, à toi l’univers. ---
**Author:** ![euchcat](https://www.debian-fr.org/user_avatar/www.debian-fr.org/euchcat/32/10035_2.png) [@euchcat](https://www.debian-fr.org/u/euchcat)\ **Post date:** [Avril 2, 2024, 10:03 UTC](https://www.debian-fr.org/t/alerte-securite-linux-une-backdoor-dans-xz/89765/7 "2024-04-02T22:03:08Z")
Master of universe ? woaw ! :- 🤣