A múlt hónapban jelentős mérföldkövet ünnepelhetett a nyílt forráskódú Linux operációs rendszer, a platform ugyanis a történetében először átlépte a 4%-os piaci részesedést a Statcounter statisztikájában, azóta pedig csak tovább nőtt a jelenléte, a márciusi adatokban ugyanis már 4,05%-ot hasít ki a teljes tortából.
A közösségileg fejlesztett szoftvereknek kétségtelenül számos előnyük van, köztük azzal, hogy a korlátlan hozzáférésnek köszönhetően bármikor be lehet kukkantani a motorháztető alá, ami most milliók meghackelésének vetett gátat, hála a Microsoft egy maximalista alkalmazottjának.
A The Guardian beszámolója alapján ugyanis a redmondi cég egyik fejlesztője, Andreas Feund volt az, aki felfedezte, hogy a Debian Linux béta verziója a szokásos 0,3 másodperc helyett 0,8 másodperc alatt jelentkezik be, amikor pedig a dolog mélyére ásott, egy fokozottan veszélyes, szándékosan elrejtett hátsó kaput fedezett fel az XZ Utils nevű tömörítőeszközben.
Ez program a Debian mellett olyan, összességében milliók által használt Linux-disztribúciókban található meg, mint például a Fedora, a Kali, az OpenSUSE vagy az Alpine, így ha nem sikerül kiszúrni, a sérülékenység beépítője rengeteg ember számítógépe felett vehette volna át az irányítást. Az XZ Utils érintett, 5.6.0-s és 5.6.1-es verziói viszont szerencsére még egyetlen disztró nyilvános kiadásába sem kerültek be, így Feundnak köszönhetően a sebezhetőség még jó eséllyel azelőtt lebukott, hogy bárkinek is árthatott volna.
A történet további érdekessége, hogy a jelek szerint február 23-án bekerült hátsó kaput az XZ Utils két fő fejlesztőjének egyike adta hozzá a tömörítőeszközhöz, aki régóta aktív tagja a Linux-közösségnek, viszont nincs kizárva, hogy időközben meghackelték a programozó fiókját. Amennyiben így történt, egy hosszú időn át előkészített, rendkívül türelmesen kivitelezett támadási kísérletről lehet szó, ez pedig felveti a gyanúját, hogy egy állami szereplő állhat az akció mögött. Az egyelőre nem tiszta, hogy az elkövető tényleg PC-k millióinak megfertőzésére, avagy csak egyetlen értékes célpontra utazott.
A sérülékenység időközben a National Vulnerability Database adatbázisába is bekerült, ahol CVE-2024-3094 sorozatszámon tartják nyilván.
