Porte dérobée xz Utils (2024)

xz Utils est une bibliothèque de compression intégrée à la plupart des distributions Linux, maintenue comme beaucoup de logiciels libres par un bénévole isolé. À partir de 2021, un contributeur sous le pseudonyme de Jia Tan propose des améliorations utiles, pendant que d'autres comptes, vraisemblablement coordonnés, pressent le mainteneur épuisé de partager la charge. Jia Tan obtient progressivement les droits de publication. Début 2024, il insère dans les versions 5.6.0 et 5.6.1 un code dissimulé dans des fichiers de test, qui, une fois compilé, permet d'exécuter des commandes à distance sur les serveurs utilisant le service d'accès sécurisé SSH, à condition de détenir une clé privée précise. Le 29 mars 2024, un ingénieur remarque qu'une connexion SSH prend une demi-seconde de trop, enquête, et découvre la porte dérobée ; la vulnérabilité reçoit la note de gravité maximale. Les versions piégées n'avaient pas encore atteint les distributions stables les plus répandues. L'opération, par sa patience et sa sophistication, est attribuée par de nombreux analystes à un acteur étatique, sans attribution officielle. Pour l'assurance, c'est le scénario catastrophe de la chaîne d'approvisionnement logicielle : un composant gratuit, présent partout, dépendant d'une seule personne, compromis sans que ses millions d'utilisateurs puissent le détecter.