Hintertür in xz gefunden - Kann man überhaupt noch einer Software vertrauen, die man nicht selbst geschrieben hat?

xz ist ein unter Linux weit verbreitetes Datenkompressionsformat. Ein Entwickler der Referenzimplementierung xz-utils (https://github.com/tukaani-project/xz) hat vor kurzem eine Hintertür (CVE-2024-3094) eingebaut, mit der in manchen Linux Distributionen sshd kompromittiert werden kann. Bisher wurde noch kein CVE Score zugewiesen, aber ich schätze diese Hintertür als sehr kritisch ein. Bestimmt werden in den nächsten Tagen Heise, Golem, etc. darüber berichten, und vielleicht sogar die Mainstream Medien.

Die Hintertür wurde gefunden, weil der Schadcode Performanceprobleme in sshd verursacht hat. Glücklicherweise sind die betroffenen xz Versionen noch nicht weit verbreitet, da Pakete in vielen Distributionen nur sehr langsam aktualisiert werden. In Arch Linux wurde bereits eine betroffene xz Version ausgeliefert, aber da sshd in Arch Linux kein gz verwendet, ist ein Angriff in diesem Fall nicht möglich.

Dennoch ist dieser Vorfall äußerst besorgniserregend, da die Hintertür von einem xz Entwickler eingebaut wurde, der bereits mehrere Jahre am Projekt beteiligt war und als vertrauenswürdig galt.

Grundsätzlich galt Open Source Software als weniger anfällig für Hintertüren als Closed Source Software. Man ging davon aus, dass Hintertüren in Open Source Software gefunden werden, bevor sie überhaupt veröffentlicht werden, da der Code von vielen unabhängigen Experten überprüft wird. Ein häufig genanntes Beispiel, das diese These untermauern soll, ist ein 2003 gescheiterter Versuch, eine Hintertür in den Linux Kernel einzubauen.

Der aktuelle Vorfall zeigt, dass es sehrwohl möglich ist, Schadcode unentdeckt in weit verbreitete Open Source Software einzubauen. Dies wirft die Frage auf, inwieweit man fremder Software überhaupt noch vertrauen kann.

Seid ihr selbst von dieser Hintertür betroffen? Wie schützt ihr euch? Habt ihr Zweifel an der Sicherheit von Open Source Software? Denkt ihr, dass dieser Vorfall zu einem Umdenken bei der Vertrauenswürdigkeit von Open Source Entwicklern führen wird?

Weitere Informationen
  • https://lwn.net/Articles/967180/
  • https://lwn.net/ml/oss-security/20240329155126.kjjfduxw2yrlxgzm@awork3.anarazel.de/
  • https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094
  • https://archlinux.org/news/the-xz-package-has-been-backdoored/
  • https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/
  • https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
Computer, Software, Linux, Sicherheit, IT, Backdoor, Code, Hacker, Hackerangriff, Informatik, IT-Sicherheit, Open Source, Softwareentwicklung, ssh, Vertrauen, Vertrauensbruch, Exploit, Exploits, IT-Sicherheitsexperte, Schwachstellen, vertrauenswürdig, sshd
Werden KI's uns Software-Entwickler ersetzen?

Hallo,

ich mache eine Programmierer-Ausbildung bei einer großen öffentlichen Firma und habe dort sehr gute Übernahmechancen nach der Ausbildung.

Chatgpt/GPT4 kann meiner Meinung nach schon sehr gut programmieren, debuggen und dokumentieren. Meine Sorge ist jetzt, ob diese KI uns Programmierer in der Zukunft ersetzen könnte. GPT4 hilft mir bisher wenig auf der Arbeit, aber was ist mit besseren Versionen von GPT? Der Sprung von Chatgpt 3.5 zu Gpt4 ist einfach so enorm... Ich frag mich, wie groß der Sprung zu neueren Modellen sein wird.

Weil ich habe momentan extreme Angst, dass meine Ausbildung doch nur Zeitverschwendung ist. Ich würde gern für immer als Software Entwickler arbeiten und hätte echt nicht die Nerven mit Mitte 30 arbeitslos zu werden während ich meine Kinder ernähren muss und ein Haus abbezahle.

Also was ist eure Meinung? Sollte ich vielleicht sogar die Ausbildung abbrechen und zum Beispiel Handwerk machen? Oder hat Software Entwicklung Zukunft wie jeder sagt?

Also kann ich auf diesen Beruf im öffentlichen Dienst setzen, wenn ich in der Zukunft ein Haus abbezahlen will und eine Familie gründen will? Bitte seid ehrlich!

Nein, nicht sicher 58%
Ja, sicher bis zur Rente 42%
Software, Lernen, Zukunft, Technik, Wirtschaft, programmieren, Java, GPT, Informatik, künstliche Intelligenz, Öffentlicher Dienst, Python, Softwareentwicklung, Student, ChatGPT, OpenAI

Meistgelesene Fragen zum Thema Software