Vulnerabilidad fuerte en Linux (xz)

Un backdoor en la librería xz pasó un mes en repositorios de Debian y Fedora​

La señal no la dio un escáner de seguridad ni un aviso corporativo. La dio una conexión SSH que tardaba medio segundo más de lo habitual. Quien lo detectó estaba probando otra cosa, tiró del hilo y se topó con lo impensable: una puerta trasera incrustada en xz, la librería de compresión que trabaja de fondo en buena parte del ecosistema GNU/Linux. El paquete con regalito estuvo disponible en los repositorios cerca de un mes. Debian y Red Hat/Fedora figuran entre las distribuciones afectadas; Arch y sus derivadas parecen haberse librado.

Qué permitía la puerta trasera en xz​

Según el análisis que se ha ido destilando, el código malicioso habría habilitado acceso directo por SSH a la máquina como administrador sin que el propietario se enterara de nada y sin que el sistema de permisos sirviera de barrera. Traducido: no hace falta buscar un exploit que retuerza variables del sistema ni encadenar fallos conocidos para escalar privilegios. La puerta ya venía puesta.

Herramientas como chkrootkit, rkhunter o Aide existen justamente para cazar este tipo de intrusiones. Y ni con esas es sencillo llegar a tiempo. Hay quien se ha apresurado a rebajar el asunto a un simple eval metido en el script de construcción de una biblioteca. El matiz es de peso, pero conviene recordar qué abre un eval cuando el paquete acaba corriendo en servidores ajenos. Toda la arquitectura defensiva del sistema operativo asume que quien mantiene una dependencia juega limpio. Cuando no lo hace, la muralla se cae sola.

¿Por qué Debian y Red Hat se vieron afectadas y Arch no?​

No todas las distribuciones mordieron el anzuelo. Arch y sus derivadas parecen haberse librado de esta versión concreta, mientras Debian y la familia Red Hat/Fedora sí incorporaron el paquete comprometido. Cuando la dependencia es común, el fallo viaja en cadena y arrastra consigo todo lo que cuelga de ella.

La asimetría alimentó de inmediato el viejo pique entre distros. Durante años, el número de usuarios de Linux sobre el escritorio, en torno al 4%, servía de escudo: pocos usuarios, pocos objetivos. La conclusión que varios extraen es la contraria. A medida que ese porcentaje sube, el sistema se vuelve más apetecible y los golpes dejan de ser anécdota.

El mantenimiento voluntario, el eslabón más débil​

Aquí está el fondo del asunto. La puerta trasera no la coló un atacante anónimo desde fuera: entró por la puerta de la confianza que se concede a quien mantiene código ajeno. Según el relato que se ha difundido, una identidad falsa habría ido ganando reputación en varios proyectos hasta tener margen para empujar cambios en el paquete. Nadie tiene una máquina de detectar intenciones.

El núcleo del debate es económico. La revisión de seguridad de dependencias críticas descansa en buena medida en voluntarios que ya se pasan diez horas al día haciendo lo mismo por trabajo. Revisar líneas de código ajenas gratis y con rigor no es una afición: es un segundo empleo sin nómina. La advertencia que sobrevuela es explícita: o se incentiva esa labor, o los sustos llegarán de forma exponencial.

Un mes en los repositorios: el parche llega, la desconfianza se queda​

Corregido quedó rápido en cuanto se puso el foco. El problema no es el parche, es la ventana. Un mes de exposición en los repositorios de distribuciones que alimentan servidores y equipos de producción. Y la pregunta incómoda que nadie responde con total tranquilidad: si este paquete llevaba un regalo, cuántos más pueden llevar algo parecido sin que nadie lo haya mirado.

La comparación con Windows aparece una y otra vez, casi siempre mal planteada. Que el otro sistema acumule agujeros no convierte este en insignificante. La ventaja que se reivindica es otra: el código abierto se puede auditar y, una vez detectado el problema, la corrección llega en horas, no cuando al fabricante le apetece.

---

Falta lo que no cabe en ningún titular: la cuenta. OpenSSL, la librería que cifró medio internet durante años, se sostenía con dos pagadores habituales y unos 5.000 dólares al año. Con esa aritmética, el backdoor de xz no es un accidente. Es lo que pasa cuando la infraestructura crítica se financia como un hobby.