Well this is fucking lovely....

Malicious code was discovered in the upstream tarballs of "xz" which then affects liblzma

Downstream there may be backdoors in various implementations of "sshd".

Versions Affected:

• Fedora 41
• Fedora Rawhide
• openSUSE Tumbleweed
• Debian testing, unstable, experimental distributions
• Kali updates between March 26th and March 29th

Original notice here:
https://www.openwall.com/lists/oss-security/2024/03/29/4

Red Hat CVE: https://nvd.nist.gov/vuln/detail/CVE-2024-3094

Red Hat Security Blog Post: https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users

Arch Linux Security Post: https://archlinux.org/news/the-xz-package-has-been-backdoored/

Debian Security Post: https://lists.debian.org/debian-security-announce/2024/msg00057.html

openSUSE Security Post: https://news.opensuse.org/2024/03/29/xz-backdoor/

Kali Linux announcement: https://infosec.exchange/@kalilinux/112180505434870941

CISA Advisory: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094

Article here: https://www.helpnetsecurity.com/2024/03/29/cve-2024-3094-linux-backdoor/

#infosec #linux #foss #hacking #cve20243094 #cve

Kali Linux

2024-03-29 18:57:49

As of the information we have currently, the following is true. Should more information come to light, we will continue to keep this situation updated.

The xz package, starting from versions 5.6.0 to 5.6.1, was found to contain a backdoor. This backdoor could potentially allow a malicious actor to compromise sshd authentication, granting unauthorized access to the entire system remotely. The impact of this vulnerability affected Kali between March 26th to March 29th. If you updated your Kali installation on or after March 26th, it is crucial to apply the latest updates today to address this issue. However, if you did not update your Kali installation before the 26th, you are not affected by this backdoor vulnerability.

More information can be found at https://www.helpnetsecurity.com/2024/03/29/cve-2024-3094-linux-backdoor/ and https://www.openwall.com/lists/oss-security/2024/03/29/4

Beware! Backdoor found in XZ utilities used by many Linux distros (CVE-2024-3094) - Help Net Security

A vulnerability (CVE-2024-3094) in XZ Utils may enable a malicious actor to gain unauthorized access to Linux systems remotely.

^{Zeljka Zorz (Help Net Security)}

UPT: Universal Package Management Tool for Linux: One command to rule them all!

I’ve not tested this yet, but it looks interesting. One of those big differentiators between the different branches of Linux, are the different package manager per branch which one has to get to know.

There are Pacman for Arch Linux and derivatives, Alpine Package Keeper (a.k.a. APK), Advanced Package Tool (a.k.a. APT) for Debian GNU/Linux and derivatives, Aptitude, a front-end for APT, Snapcraft for Ubuntu and derivatives, Yellowdog Updater Modified (a.k.a. Yum) for RPM-based systems, Slackpkg for Slackware, Emerge for Gentoo, the guix command on Guix, and nix-env on NixOS, among others, not to mention pkg on FreeBSD, Homebrew for macOS, and Scoop for Windows. Every one of those has its own way of management, forcing you to learn different ways to do the same thing.

A developer called sigoden has created a universal tool called Universal Package-management Tool, or UPT for short, able to put things together in this jungle. Once you have it installed, you won’t need to learn another package management’s lifestyle again.

UPT is written in Rust so you need to install Rust and Cargo on Ubuntu or whatever Linux distribution you are using.

I don’t see any YouTube videos about this yet. It started out 5 years ago, but it seems that the usable releases only started from about Dec 2023.It works for Linux, Windows, macOS and BSD.The Github project page lists all supported OSs.

See https://itsfoss.com/upt/
#Blog, #linux, #opensource, #technology

Niemals ohne Werbefilter surfen!

Warum einen #Werbefilter verwenden?

#Mozilla behauptet von sich, um unsere #Privatsphäre bemüht zu sein aber sie liefern #Firefox ihren #Browser nicht mit voreingestellten Werbefilter / #Werbeblocker aus. Es gibt diverse kleinere Browser, die das inzwischen machen und somit wäre es nicht mehr so revolutionär wenn Mozilla dies auch tun würde. Sei es drum, die erste Aktion nachdem ihr Firefox installiert habt sollte immer sein einen Werbefilter zu installieren. Dieser schützt euch vor ausufernder teilweise betrügerischer #Werbung. Er spart euch Zeit beim #YouTube schauen. Es wird verhindert, dass euer Surfverhalten großflächig ausgewertet und vermarktet wird. Selbst das FBI empfiehlt Werbefilter zu verwenden. Lasst euch nicht vom Rumheulen mancher Seiten erweichen euren Werbefilter abzuschalten, denn diese Seiten zahlen nicht wenn ihr euch durch abgeschalteten Werbefilter bei ihnen Schadsoftware einfangt und euren Rechner neu installieren müsst.

⚠️ Bitte merkt euch aus Sicherheitsgründen und zum Schutz der Privatsphäre niemals ohne Werbefilter surfen! ⚠️

Uneingeschränkt empfehlen kann ich "uBlock Origin" 👍

"uBlock Origin" filtert in der Defaulteinstellung zuverlässig die Werbung heraus auch bei YouTube. Dafür werden von Freiwilligen Listen gepflegt, die bekannte Werbung so herausfiltern, dass das Surferlebnis nicht durch kaputte Seiten beeinträchtigt wird. Man muss ihn nur installieren und kann dann lossurfen.

Installation für Firefox hier: https://addons.mozilla.org/de/firefox/addon/ublock-origin/

Ein Filter der lernt, Werbung zu filtern ist der "Privacy Badger".

Dieser Werbefilter wurde von der EFF (US-Bürgerrechtsorganisation für Freiheit im Internet) entwickelt. Die haben Ahnung und sind vertrauenswürdig. Hauptunterschied ist, dass dieser Werbefilter erst lernt die Werbung zu filtern anhand ihres negativen Verhaltens für die Privatsphäre. Damit seid ihr nach kurzer Lernphase auch gegen neue Methoden geschützt, da der Filter ständig dazulernt. Hintergrund ist, dass die Listen, die man für "uBlock Origin" herunterladen muss verfälscht sein könnten oder verboten werden könnten von restriktiven Regimen. Hauptkritikpunkt ist, dass man sich einen individuellen Fingerabdruck im Browser erzeugt, anhand dessen ihr theoretisch getrackt werden könntet. Dazu spielt der Server eine für euch individuell erzeugte Werbung aus. Ein anderer Server prüft dann, ob ihr genau diese Werbung filtert und weiß dann, dass ihr schon mal den vorherigen Server besucht habt.

Hier könnt ihr "Privacy Badger" für Firefox installieren:
https://addons.mozilla.org/de/firefox/addon/privacy-badger17/

Für alte und langsame Rechner eignet sich eine Werbefirewall.

Die Werbefirewall "Bluhell" arbeitet mit den selben Listen wie "uBlock Origin". Der Unterschied ist, dass "uBlock Origin" die Werbung filtert. Dazu werden die Werbeanzeigen herausgenommen und die Seite danach neu zusammengebaut, sodass es möglichst gutes Gesamterscheinungsbild im Browser erscheint. Dies braucht Zeit und Rechenleistung, was auf aktuellen Rechnern kein Problem ist. "Bluhell" blockt nur den Zugriff auf die Server, die die Werbung ausspielen. Dies geht schneller und einfacher aber die angezeigten Seiten sehen dann gelegentlich etwas kaputt aus mit einem großen Loch wo vorher die Werbung war.

Zur Installation für Firefox hier: https://addons.mozilla.org/de/firefox/addon/bluhell-firewall/

Werbung ausschalten ohne Filter mit der Leseansicht.

Wie gesagt solltet ihr aus Sicherheitsgründen niemals auf den Werbefilter verzichten. Manchmal sitzt man aber an einem fremden oder öffentlichen Rechner, wo man nicht mal eben was installieren kann oder darf. Dann hilft euch die Leseansicht im Firefox. Sie ist auch hilfreich, wenn ihr Seiten ausdrucken wollt, da unnötiges ausgeblendet wird. Um sie zu nutzen, einfach in der Adressleiste auf das entsprechende Symbol klicken.

Werbung blockieren mit der "hosts" Datei.

Das Prinzip ist ähnlich wie bei "Bluhell" aber ganz ohne Installation. Es gibt die Datei "hosts", die eigentlich dafür gedacht ist im lokalen Netzwerk auf Server weiterzuleiten, die nicht über einen DNS-Server aufgelöst werden können, weil man dafür keinen im lokalen Netzwerk eingerichtet hat. Der Trick ist jetzt Werbedomains, entweder auf die IP 0.0.0.0 oder 127.0.0.1 (localhost) umzuleiten. Klinkt für Anfänger wahrscheinlich nach Technikkaudawelsch bedeutet aber einfach nur, dass die Anfragen an Werbung ins leere gehen. Nachteil ist, dass bestimmte Dienste wie "Spotify" nicht mehr funktionieren, wenn sie keine Verbindung mehr zu ihrer Werbung haben. Ein weitere Nachteil ist, dass sich die Server für Werbung ständig ändern und man manuell Updates einspielen muss. Diese Aufgabe übernimmt sonst "Bluhell" oder "uBlock Origin" für euch.

Wie es geht wird hier beschrieben: https://www.hosteurope.de/blog/hosts-datei-finden-und-aendern-oder-fuer-eigenen-blocklist-blacklist-index-optimieren/

Listen erhält man hier: https://pgl.yoyo.org/as/serverlist.php
Oder hier: https://github.com/lightswitch05/hosts

Werbung filtern an einem zentralen Punkt für alle Geräte im eigenen Netzwerk mit "Pi Hole".

Diese Lösung ist nur etwas für Leute die sich auskennen, weil viele technische Schritte notwendig sind. Als Belohnung erhält man aber eine Lösung, die fertig eingerichtet für alle Geräte verfügbar ist. So kann man seine ganze Familie, Verwandtschaft und Freunde wirkungsvoll schützen. Dazu richtet man sich auf einen #RaspberryPi (oder einen anderen #Computer mit #Linux) einen Server ein, der die Werbung filtert. Danach muss man das lokale Netzwerk nur so konfigurieren, dass alle Geräte diesen Server nutzen für den Internetzugriff. Geräte im #Internet verbinden sich per #VPN mit dem eigenen Server. Den Server kann man zusätzlich als eigene Cloud nutzen und für vieles mehr.

Wie man ein sogenanntes "Pi Hole" einrichtet wird hier beschrieben: https://www.heise.de/tipps-tricks/Pi-Hole-auf-dem-Raspberry-Pi-einrichten-so-geht-s-4358553.html

#pihole #uBlockOrigin #Bluhell #firewall #adblocker #freiheit #anleitung #tutorial #Sicherheit #Wissen #software #www #web #Schutz #Betrug #Abofalle