La porte dérobée de XZ Utils : L'épuisement des mainteneurs est une menace nationale

La fois où l’internet a frôlé de plus près l’effondrement total de ses infrastructures, cela n’a pas commencé par une faille zero-day ou une attaque par force brute. Cela a commencé par un courriel poli proposant d’aider un gars épuisé à nettoyer du vieux code.

Avant de poursuivre : Nous avons récemment discuté de la façon dont l’industrie tente de corriger les vulnérabilités logicielles systémiques au niveau du compilateur dans La réécriture en Rust : Pourquoi Windows et Linux abandonnent enfin C/C++. Mais comme la crise de XZ Utils l’a prouvé, réécrire le noyau ne sert à rien si l’humain qui gère le code est poussé à bout.

Table des matières

• La longue arnaque
• Le miracle des 500 millisecondes
• Le parasitisme corporatif
• Faits amusants
• Sources

La longue arnaque

Pendant près de deux ans, une entité mystérieuse connue seulement sous le nom de “Jia Tan” a exécuté l’attaque de chaîne d’approvisionnement la plus patiente et la plus terrifiante de l’histoire des logiciels open-source. Leur cible était XZ Utils, un outil de compression de données obscur mais universellement déployé, intégré dans pratiquement toutes les distributions Linux sur terre.

Jia Tan n’a pas piraté le dépôt de code. Ils ont piraté le mainteneur. Lasse Collin maintenait XZ Utils depuis plus d’une décennie, la plupart du temps seul, et de façon entièrement bénévole. Il luttait publiquement contre des problèmes de santé mentale et d’épuisement professionnel. Voyant une faiblesse, Jia Tan a orchestré une campagne de pression en utilisant un réseau de faux comptes pour se plaindre de la lenteur des mises à jour, tout en s’offrant comme co-mainteneur volontaire et utile. Pendant deux ans, Jia Tan a soumis du code légitime, corrigé des bogues et gagné lentement la confiance de Collin jusqu’à obtenir les droits d’écriture.

Ensuite, ils ont posé la bombe. Il s’agissait d’une porte dérobée profondément masquée, injectée dans le démon SSH, conçue pour donner aux attaquants un accès root distant et authentifié à des millions de serveurs Linux dans le monde entier.

Le miracle des 500 millisecondes

Franchement, j’ai encore des frissons en pensant à la façon dont nous avons découvert ça. La porte dérobée était entièrement fusionnée et déjà incluse dans les versions bêta de Debian et Fedora. Elle était à quelques semaines d’être déployée sur les serveurs de production à l’échelle mondiale.

Nous avons été sauvés par un seul ingénieur de chez Microsoft nommé Andres Freund, qui effectuait des micro-tests de routine sur une base de données PostgreSQL. Freund a remarqué que ses connexions SSH prenaient 500 millisecondes de plus que d’habitude. Il a creusé dans les cycles du processeur, a trouvé la charge utile malveillante et a sonné l’alarme. Si son ordinateur local avait été un peu plus lent, ou s’il avait simplement cligné des yeux et blâmé son fournisseur internet comme nous tous, le système bancaire mondial appartiendrait peut-être en ce moment à un groupe de pirates informatiques parrainé par un État.

Le parasitisme corporatif

Le quasi-désastre de XZ Utils a exposé une faille structurelle catastrophique dans l’industrie technologique. Selon le rapport 2024 de Synopsys sur la sécurité et l’analyse des risques de l’open source, 96 % des bases de code commerciales contiennent des composants open-source. Des entreprises évaluées à des billions de dollars bâtissent leurs empires sur des bibliothèques fondamentales maintenues par des amateurs solitaires travaillant depuis leur chambre le week-end.

C’est l’équivalent numérique d’un gratte-ciel de 80 étages reposant sur un seul pilier porteur en bois entretenu par un gars au Nebraska qui n’est pas payé pour son temps.

Lorsqu’une grande entreprise veut sécuriser sa chaîne d’approvisionnement, elle embauche des auditeurs, met en place des contrôles d’accès stricts et paie des ingénieurs des salaires dans les six chiffres. Mais lorsqu’il s’agit des bibliothèques open-source sur lesquelles ces mêmes entreprises s’appuient, elles n’offrent rien d’autre que des rapports de bogues et des exigences pour des correctifs plus rapides.

Nous ne pouvons pas patcher l’épuisement humain. Tant que l’écosystème technologique mondial traitera les mainteneurs open-source comme une ressource infinie et non rémunérée, nous ne ferons qu’attendre que le prochain Jia Tan trouve un mainteneur trop fatigué pour se défendre. Et la prochaine fois, nous n’aurons peut-être pas un avertissement de 500 millisecondes.

Faits amusants

• Andres Freund ne cherchait même pas une faille de sécurité à la base ; il était simplement agacé que son processeur utilise légèrement plus d’énergie que prévu lors d’une connexion SSH.
• L’algorithme de compression derrière XZ Utils, LZMA, a été créé à la fin des années 1990 et est exactement la même technologie sous-jacente utilisée par le populaire archiveur de fichiers 7-Zip.

Sources

• Rapport Synopsys Open Source Security and Risk Analysis (OSSRA) (2024)
• Divulgation originale d’Andres Freund sur la liste de diffusion Openwall (Mars 2024)
• Déclaration de l’Open Source Security Foundation (OpenSSF) sur la porte dérobée XZ Utils