Am 28. März 2024 wurde die Welt der IT in Alarmbereitschaft versetzt: Eine Sicherheitslücke des höchsten Schweregrades trieb ihr Unwesen. Wir arbeiten das Geschehen auf: Was ist passiert? Wie wirkte sich der schadhafte Code aus? Wie wurde er versteckt? Und welche Spuren gibt es in Bezug auf den oder die Täter:innen?

CHAPTERS

(00:00) Intro

(01:09) Mussten wir uns schonmal um ein Security Issue kümmern?

(02:56) Wie wurde das Issue gefunden?

(07:59) Wie wurde die Backdoor eingeschleust?

(13:36) Wer ist Jia Tan?

(23:14) Wie wirkt sich die Backdoor aus?

(25:16) Schweregrad

(28:00) Was ist eine Supply Chain Attack?

(31:19) Was war die Lösung?

(33:36) Was bedeutet das für Open Source?

LINKS

https://www.linkedin.com/pulse/major-security-alert-linux-supply-chain-attack-hits-ssh-bise--txj5e/

https://cybersecuritynews.com/upstream-supply-chain-attack/

https://medium.com/@ttbinternetsecurty/impact-of-supply-chain-attack-on-the-security-of-ssh-server-bc503d753dd3

https://www.heise.de/news/Hintertuer-in-xz-Bibliothek-gefaehrdet-SSH-Verbindungen-9671317.html

https://www.openwall.com/lists/oss-security/2024/03/29/4

https://dnip.ch/2024/05/14/spurensuche-jia-tan-xz/

https://www.proofpoint.com/de/threat-reference/supply-chain-attack

https://www.openwall.com/lists/oss-security/2024/03/29/4/1

https://www.cvedetails.com/vulnerability-list/cvssscoremin-9/cvssscoremax-10/vulnerabilities.html

https://www.cvedetails.com/cve/CVE-1999-0002/

https://www.cvedetails.com/cvss-score-charts.php

https://codenotary.com/blog/backdoor-in-upstream-xz

https://dnip.ch/2024/05/14/spurensuche-jia-tan-xz/

https://open.spotify.com/episode/0C04JlCpMFe07C1XCswbZ9?si=MIZ9RetKQ9GaflcHouzsAA&context=spotify%3Ashow%3A1OIFxTivR0D9clY3sZi4rA

https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2024/2024-223608-1032.pdf

https://www.heise.de/hintergrund/Nach-XZ-Backdoor-Open-Source-Software-als-Risiko-oder-strategischer-Vorteil-9692061.html

https://www.akamai.com/de/blog/security-research/critical-linux-backdoor-xz-utils-discovered-what-to-know

https://openwall.com/lists/oss-security/2024/03/29/4

https://pwning.tech/nftables/

https://x.com/fr0gger_/status/1774342248437813525/photo/1

https://dnip.ch/2024/04/02/xz-open-source-ostern-welt-retten

Weiterer Podcast zum Thema:

https://open.spotify.com/episode/0C04JlCpMFe07C1XCswbZ9