Versie 5.6.2 van compressietool xz met verwijderde achterdeur is uit

De ontwikkelaar van xz heeft versie 5.6.2 van de compressietool uitgebracht. Dat is de eerste grote release sinds maart, toen er een achterdeur in de veelgebruikte software werd ontdekt. In versie 5.6.2 is die backdoor definitief verwijderd. Er is ook een nieuwe maintainer voor het project.

Ontwikkelaar Lasse Collin stelt xz en xz-utils 5.6.2 via GitHub beschikbaar. Verder stelt Collin een eerste officiële versie van een speciale pagina met releasenotes voor xz-utils beschikbaar. Die is hij al eerder begonnen, maar de pagina is nu voor het eerst compleet en moet details geven over wat er precies wordt aangepast aan de tool.

Xz en xz-utils 5.6.2 zijn de eerste officiële releases van de veelgebruikte compressietool sinds eind maart. Toen werd er een achterdeur ontdekt in versies 5.6.0 en 5.6.1 van de software. Die software wordt standaard in veel Linux-distro’s meegeleverd. De achterdeur werd tijdig ontdekt, waardoor een mogelijke grootschalige infectie van systemen werd voorkomen. In de nasleep van de ontdekking kwamen er veel vragen op over de tool; Tweakers schreef er destijds een achtergrondartikel over.

De huidige hoofdontwikkelaar van de opensourcesoftware, Lasse Collin, schrijft in de releasenotes alleen dat de achterdeur nu uit de software is verwijderd. Hij geeft daar verder geen details over. Verder heeft Collin nog enkele bugfixes en toevoegingen aan de tool uitgevoerd.

Collin zegt ook dat er een nieuwe maintainer voor xz is: Sam James. Nadat de achterdeur werd ontdekt, bleek dat die erin was gezet door Jia Tan, een van de twee maintainers van het project. Over Jia Tan is weinig bekend, maar die persoon werkt niet meer aan xz. Tot diens vertrek werkte Collin in zijn eentje aan xz.