Az XZ hátsó ajtó még mindig ott bujkál a Docker Hubon
Márciusban derült fény az XZ Utils hátsó ajtóra, ám még mindig legalább 35 olyan Linux image található a Docker Hubon, amelyek tartalmazzák ezt a súlyos sebezhetőséget. Ezeket az image-eket bárki letöltheti és felhasználhatja, akár fejlesztő, akár szervezet, így veszélybe sodorhatja adatait és rendszereit.
Mi az XZ Utils hátsó ajtó?
Az XZ Utils tömörítő segédprogram 5.6.0 és 5.6.1 verzióiban jelent meg először a hátsó ajtó (CVE-2024-3094), amelyet egy korábbi fejlesztő (Jia Tan) csempészett bele. A kód az OpenSSH egyik funkcióját, az RSA_public_decrypt-et támadta meg a glibc IFUNC mechanizmusán keresztül. Egy speciális, a támadók által birtokolt privát kulcs segítségével be lehetett jelentkezni SSH-n keresztül az érintett rendszerre, kihagyva a hitelesítést, és root jogosultsággal tetszőleges parancsot lehetett futtatni.
Miért veszélyes még mindig?
A hiba felfedezése után gyorsan megkezdődtek a javítások, és megjelentek különböző detektáló eszközök. Ennek ellenére a Binarly kutatói azt találták, hogy a Docker Hubon még mindig elérhető több olyan image, amely tartalmazza a kompromittált kódot, sőt, sok más image ezekre épül, így továbbterjed a sebezhetőség. A Debian, az egyik érintett disztribúció karbantartója, a kutatók jelzése ellenére sem törölte az érintett image-eket, mondván, alacsony az esélye annak, hogy a hátsó ajtó kihasználható legyen. Szerintük az SSH szolgáltatásnak is futnia kell az image-ben, és a támadónak hálózati hozzáféréssel is kell rendelkeznie.
A Binarly szerint már önmagában is kockázatos, hogy ezek az image-ek továbbra is elérhetők, még ha véletlenül, automatizált build folyamatban is használják fel őket. Mindenkinek, aki Docker image-eket használ, érdemes ellenőriznie, hogy az XZ Utils könyvtár legalább 5.6.2-es vagy frissebb verziója legyen az image-ben, különösen, ha régebbi vagy kevésbé ellenőrzött forrásból dolgozik.
A pénzügyi világban új verseny bontakozik ki: a hagyományos nagybankok – a JPMorgan és a Goldman Sachs – egyre komolyabban fontolgatják, hogy belépnek az úgynevezett előrejelzési piacok területére...
Az amerikai Élelmiszer- és Gyógyszerügyi Hivatal (FDA) engedélyezte az Eli Lilly legújabb, GLP-1 típusú, szájon át szedhető gyógyszerét, a Foundayo-t...
🚽 2026 áprilisában négy űrhajós indul útnak a Hold felé az Artemis II-misszió keretében, és magukkal visznek egy olyan űrtoalettet, amely a szó szoros értelmében forradalmasítja az űrutazás komfortját...
🍫 Évtizedek óta rajonganak érte, de a Reese’s mogyoróvajas csészék (Reese’s Peanut Butter Cups) népszerűsége ellenére az utóbbi időben változtattak a recepten: néhány különleges alkalomra készült terméken, például a kis húsvéti tojásokon, csökkent a valódi csokoládé aránya, olcsóbb összetevőkkel helyettesítve azt...
Nyolc évvel ezelőtt indult útjára az 1.1.1.1 nyilvános DNS-feloldó, amelynek célja nem kevesebb volt, mint a világ leggyorsabb, a magánszférát tiszteletben tartó szolgáltatásának létrehozása...
Washingtonban mondott beszédében Harry herceg kemény hangot ütött meg a közösségi oldalak működésével kapcsolatban, amikor elismerően szólt két friss, nagy horderejű perről, amelyek főként a gyerekek védelmét érintik...
😴 A korán kezdődő munkanapok milliók mindennapjait keserítik meg, hiszen a hajnalban kezdődő műszak biológiailag kényszerű kompromisszum: az agy ilyenkor még alvásra van programozva, a teljesítmény pedig jelentősen csökken...
🚀 Elon Musk újra a figyelem középpontjában: a SpaceX titokban beadta a tőzsdei bevezetéshez szükséges papírokat az Egyesült Államok Értékpapír- és Tőzsdebizottságához...
Jack Dorsey, a Block alapítója és vezérigazgatója szerint a vállalatok egy új működési korszak küszöbén állnak, amelyben a középvezetői réteg szerepét nagyrészt a mesterséges intelligencia veheti át...
A Google sürgősséggel adott ki frissítést a Chrome böngészőhöz, miután felfedeztek egy negyedik, ebben az évben aktívan kihasznált nulladik napi hibát...
Ez a jelenség jól illusztrálható azzal, hogy az Apple, amely évtizedeken át forradalmasította a technológiai világot és termékeivel új szokásokat teremtett, ma saját történetének egyik legkritikusabb szakaszához érkezett...
Egy kanadai tinédzser élete teljesen felborult, amikor szinte egyik napról a másikra testét ismeretlen eredetű csalánkiütések lepték el, valahányszor víz érte a bőrét...
Érdemes megvizsgálni, hogy a tokenizáció, vagyis eszközök blokklánc-alapú nyilvántartása és átruházása miért vált az utóbbi évek egyik legnagyobb kriptós hívószavává...
🛡 2026 tavaszán a világ legnagyobb kiberbiztonsági konferenciáján futótűzként terjedt egy nyugtalanító felismerés: soha nem volt még ilyen rövid az ablak, amelyen keresztül a védelmezők megállíthatják a támadásokat...
A NASA továbbra is április 1-re tervezi az Artemis II küldetés indítását, és jelenleg sem az űrhajóval, sem a csapattal kapcsolatban nincs jelentős technikai probléma...
Steve Jobs neve egybeforrt az Apple-lel, az iPhone‑nal, iPaddal és iMaccal, mégis egészen másból származott az a vagyon, amely később milliárdossá tette...
