Happy to see http://rubygems.org update https://blog.rubygems.org/2024/03/31/rubygems-and-xz.html that they have done an internal audit not just of the software used to run RubyGems.org itself, but also every gem that has ever been published.
RubyGems.org is not vulnerable to this issue and no gem currently published on RubyGems.org contains the vulnerable liblzma library.

#liblzma #security #vulnerability #ruby #XZLZMA #XZ

Me tiene loco que la backdoor en la DLL #liblzma de #xzutils la descubriera un pavo porque al conectarse por SSH la conexión tardaba un cuarto de segundo más de lo habitual. I mean, quién se fija y se da cuenta de algo así, y cómo lo relaciona con una vulnerabilidad en #xz. Es de locos, me sigue dejando perplejo.

Parece bastante claro que el autor es alguna agencia de inteligencia por la planificación, el nivel y los recursos. Cuentas falsas contribuyendo con código en Github durante años y ganándose reputación como contributors y la confianza del creador de XZ, y con un grado de conocimiento técnico a bajo nivel al alcance de pocos. Una verdadera operación encubierta sostenida en el tiempo, con una duración de años, para instalar una puerta trasera en equipos a nivel planetario.

Viendo las características poco creíbles de la cuenta falsa principal, aparentemente china, yo me decanto por los servicios secretos rusos o estadounidenses, pero es mera especulación.

#ciberseguridad

Now I have to wonder if this bug report I did ~1 year ago could have already lead to discovering part of the attack. The linked binary is liblzma5.

#security #xz #liblzma #liblzma5
https://github.com/golang/go/issues/59208

Oh, look, the #OpenSSF is placing the #xz #xzutils problem on the sole #liblzma maintainer.

Instead of "remaining vigilant" they could help directing more resources to open source projects. None of this is to be seen in the article.

https://openssf.org/blog/2024/03/30/xz-backdoor-cve-2024-3094/