Kali von xz-utils Backdoor betroffen, Debian / Ubuntu nicht
Bei Technik-affinen Leuten wie die Leser dieses Blogs dürfte sich bereits wie ein Lauffeuer verbreitet habe, dass das weit verbreitete Paket xz-utils (Datenkompressions-Tools), beginnend mit den Versionen 5.6.0 bis 5.6.1, eine Backdoor hat (CVE-2024-3094). Diese Hintertür könnte es einem böswilligen Akteur ermöglichen, die sshd-Authentifizierung zu kompromittieren. Damit könnte sie oder er unbefugten Fernzugriff auf das gesamte System erhalten.
Die gute Nachricht ist, dass aktuelle LTS-Versionen von Ubuntu nicht betroffen sind. Das gilt auch für Linux Mint und die stabile Version von Debian (nicht für Testing, Unstable und Experimental). Auch Raspberry Pi OS ist nicht betroffen, wenn das Paket aus den offiziellen Repos installiert ist.
Das gilt natürlich auch für die Server-Versionen von Ubuntu, falls Du einen solchen einsetzt. Es kann trotzdem nicht schaden, die produktiven Systeme zu überprüfen.
Zum Glück wurde die Security-Lücke schnell und rechtzeitig gefunden, weil sie sich auf das gesamte Linux-Ökosystem auswirken kann. Mit einem blauen Auge davongekommen, darf man hier wohl sagen. Ich will mir wirklich nicht vorstellen, wenn es die Backdoor in die stabilen Versionen der großen Distributionen geschafft hätte – etwa das bald erscheinende Ubuntu 24.04 LTS Noble Numbat.
Kali Linux betroffen
Die Security-Distribution Kali Linux ist allerdings betroffen, zumindest für einen kurzen Zeitraum. Hast Du Kali zwischen dem 26. und 29. März aktualisiert, hast Du xz-utils 5.6.0-0.2 eingespielt. Daher solltest Du schnell ein weiteres Update durchführen, da Du damit die Security-Lücke behebst, indem Du ein gepatchtes Paket einspielst. Hast Du Deine Kali-Installation im eben erwähnten Zeitraum allerdings nicht aktualisiert, dann bist Du von dieser Backdoor-Schwachstelle nicht betroffen.
Red Hat hat berichtet, dass die verwundbaren Pakete in Fedora 41 und Fedora Rawhide enthalten sind. User sollten sofort aufhören, die Distributionen zu nutzen oder entsprechend aktualisieren. RHEL (Red Hat Enterprise Linux) ist nicht betroffen, das gilt für alle Versionen.
SUSE hat bereits einen Fix für openSUSE Nutzer veröffentlicht.
