Arch Linux - News: The xz package has been backdoored
archlinux.org
  • lichtmetzger@feddit.de
    10·
    8 months ago

    Hier übrigens die bisher bekannten Fakten dazu: https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

    Das war wohl vor allem möglich, weil der Hauptmaintainer Lasse Collin die neue Person vor ca. 2 Jahren in das Projekt reingelassen hat. Es gibt auch einen Eintrag in der Mailingliste des Projekts, dass er damals psychische Probleme hatte und das Projekt nicht mehr so gut maintainen konnte, wie er eigentlich wollte.

    As I have hinted in earlier emails, Jia Tan may have a bigger role in
the project in the future. He has been helping a lot off-list and is
practically a co-maintainer already. :-)

    “Jia Tan” war derjenige, der die Backdoor dann letztendlich eingeschleust hat. Da hat jemand echt das long game gespielt und sich langsam Vertrauen und somit immer mehr Rechte im Projekt verschafft. Was für eine wilde Timeline.

    Dieser XKCD bewahrheitet sich immer immer.

    Edit: Was ich ja vor allem sehr kritisch finde, ist, dass Github einfach die Repo des Projekts und beide Maintainer gesperrt hat. Nun kann niemand mehr sinnvoll nachvollziehen was dort passiert ist, PRs einsehen, Diskussionen führen oder Code auschecken. Microsoft, you fucking idiots…auch ein guter Zeitpunkt, mal zu hinterfragen, ob wirklich alles auf Github gehostet werden sollte.

    • aaaaaaaaargh@feddit.deMDeutsch
      2·
      8 months ago

      Oha, das klingt tatsächlich spannend. Werde das mal weiter verfolgen. Im Heiseforum gab es nur tief rot bewertete Beiträge mit sehr seltsamen Boomerinhalten. Gut, dass ich da keinen Account besitze, immerhin noch ein wenig Selbstkontrolle.

  • aaaaaaaaargh@feddit.deMDeutsch
    4·
    8 months ago

    Mit Bogen wäre das nicht passi- ich meine lies einfach das Wiki und lass mich in Ruhe.

    (Danke für den Hinweis, gerade aktualisiert!)