Porte dérobée xz : l'attaque évitée de justesse

Au printemps 2024, la découverte fortuite d'une porte dérobée dans un outil de compression présent sur la plupart des systèmes Linux inquiète l'industrie.

En mars 2024, un ingénieur de Microsoft, Andres Freund, remarque qu'une connexion SSH prend une fraction de seconde de trop. En cherchant la cause, il découvre une porte dérobée cachée dans xz Utils, une bibliothèque de compression open source.

Comme le raconte l'agence Reuters, le code malveillant avait été introduit par un contributeur qui avait gagné la confiance du mainteneur du projet pendant plus de deux ans. Il aurait pu permettre de prendre le contrôle à distance de nombreux serveurs.

La porte dérobée a été découverte avant d'atteindre les versions stables des grandes distributions Linux. L'épisode a relancé le débat sur la fragilité des projets open source maintenus par une poignée de bénévoles.