EnglishРусский Map

Инцидент с xz-utils

Wiki entitysecuritysupply-chainincidentopen-source ↳ show in map Markdown
title
Инцидент с xz-utils
type
entity
summary
Атака на цепочку поставок 2024 года через социальную инженерию: псевдомейнтейнер Jia Tan внедрил бэкдор в SSH через xz/liblzma
tags
security, supply-chain, incident, open-source
sources
fsnotify-maintainer-dispute
created
2026-05-12
updated
2026-05-12
lang
ru
translation_of
xz-utils-incident
source_updated
2026-05-12
translated
2026-09-01
translator
lllm/antigravity/gemini-3.7-flash-medium

Эталонный инцидент среди атак на цепочку поставок, проведённых через завоевание доверия мейнтейнера, а не кражу учётных данных. Обнаружен Андресом Фройндом (Andres Freund, Microsoft) в конце марта 2024 года при исследовании задержек при входе по SSH; следы привели к бэкдору в библиотеке liblzma, поставляемой в составе xz-utils.

Общая картина:

  • У проекта xz-utils был единственный и всё сильнее выгоравший мейнтейнер (Lasse Collin). Публичные сообщения в почтовой рассылке за несколько лет отражали неотвеченные тикеты, давление со стороны "контрибьюторов", требовавших релизов, и жалобы "пользователей" на заброшенность. (О структурном паттерне см. unmaintained-scanner-pressure.)
  • Персонаж под именем "Jia Tan" (аккаунт JiaT75) появился в 2022 году, около двух лет вносил правдоподобные изменения, постепенно завоёвывал доверие и в итоге получил статус второго мейнтейнера с правом выпускать релизы.
  • Другие персонажи ("Jigar Kumar", "Dennis Ens") в тот же период писали давящие письма в рассылку, требуя от Лассе передать управление. По всем признакам это был тот же самый атакующий или скоординированная группа.
  • В начале 2024 года Jia Tan влил серию коммитов, которые через обфусцированные правки в системе сборки, спрятанные внутри бинарных файлов тест-кейсов, внедряли бэкдор в SSH-сервер, срабатывавший на определённый криптографический ключ.
  • Заражённый релиз (xz 5.6.0 / 5.6.1) успел попасть в Debian unstable, Fedora rawhide / 40 beta и openSUSE Tumbleweed, прежде чем его обнаружил Фройнд.

Почему xz-utils стал каноническим прецедентом, а не просто громким инцидентом:

  • Снаружи атака была неотличима от легитимной передачи проекта на протяжении примерно двух лет. Все сигналы, по которым "обеспокоенный downstream-пользователь" мог бы проверить нового мейнтейнера, присутствовали: качественный код, быстрые ответы, активность в рассылке, посещение конференций.
  • Слой социальной инженерии был несущей конструкцией. Никаких взломов CI, кражи токенов или захвата реестров пакетов. Атакующий стал мейнтейнером штатным путём, после чего коммитил внешне легитимный код.
  • Динамика принуждения была на виду. Давление с требованиями релиза, который ещё не был готов, помогло сломить Лассе и заставить его принять помощь.

Инцидент полностью изменил то, как сообщество воспринимает передачу управления новому мейнтейнеру. До xz новый контрибьютор, берущий на себя работу, на которую у автора нет времени, выглядел рядовым явлением. После xz это в точности паттерн задокументированной атаки, и downstream-пользователи теперь относятся к такому с подозрением - о цене этого сдвига см. maintainer-governance-ambiguity.

См. также

Linked from