xl-utils Le sujet est résolu

[EPTBSGL]

Bonjour,

J'utilise des serveurs en Debian 11 et 12. Depuis la parution de la vulnérabilité de "xz-utils", j'ai vérifié la version. sur Debian 11 5.2.5 et sur Debian 12 5.4.1. Ces 2 versions ne sont donc pas impactés. N'ayant de toute façon et à priori pas besoin de ce paquet, j'ai voulu le désinstaller (apt autoremove --purge xz-utils) puis je vérifie qu'il est bien désinstallé (apt list xz-utils). Je suis connecté en ssh avec un serveur intégré au domaines Windows ('avec sssd). Je redémarre le serveur et quelques minutes après, le paquet est à nouveau installé sans aucune intervention ! Quelqu'un aurait-il une idée sur ce comportement ?
En vous remerciant d'avance pour vos réponse.

[zargos]

Bonjour,
comment as-tu desinstallé le paquet?
si c'est avec

Code : Tout sélectionner

apt remove xz-utils

c'est normal de l'avoir avec

Code : Tout sélectionner

apt list xz-utils

Si tu veux le supprimer complètement, il faut utiliser

Code : Tout sélectionner

apt purge xz-utils

[EPTBSGL]

Pour le supprimer, j'ai utiliser apt autoremove --purge xz-utils ce qui revient à faire apt purge xs-utils puis apt autoremove --purge. De toute façon, quand je vérifie après le passage de ma commande, il n'est plus marqué comme "installé". Donc, comment se fait-il que sans intervention, il se retrouve marqué comme "installé" quelques minutes plus tard ?! D'autre part, je ferais remarquer que apt remove désinstalle bien un paquet mais sans supprimer les fichiers de conf. Donc, dans tout les cas, ce n'est pas "normal' !

[piratebab]

Fait un puge, un clean, débranche toi d'internet, et regarde si il revient. Si c'est le cas, il ne reviens pas via la gestion de paquets.
Il peux venir d'une autre gestion de paquet (python, rust ..)

[zargos]

Pas de snap ou autre flatpak dans lesquels il faudrait éventuellement regarder?

un script cron, anacron, at?

[EPTBSGL]

Tout d'abord, merci pour vos réponses.
Ce serveur, c'est moi qui l'ai monté. Donc, je suis sûr que je n'ai pas écrit un cron concernant xz-utils. Par contre, je vais effectivement regarder de ce côté là. Je ne suis pas paranoïaque, mais de là à penser qu'il y a eu une intrusion... En attendant, j'ai arrêté et désinstallé le serveur ssh (puisque j'y ai accès via Vsphère). J'ai fait des tests en montant une VM "neuve" sous Debian 12 en l'intégrant à notre domaine Windows avec une authentification via l'AD. Je ne reproduis pas ce comportement. Je vais continuer de chercher et vous tiens au courant.

[EPTBSGL]

J'ai regardé les fichiers de logs et c'est en fait le client antivirus qui provoque ce comportement. Comme je ne l'avais pas installé sur le nouveau serveur de test, le phénomène ne se produisait pas. Ce sujet peut être passé en "résolu".
Bonnes fêtes de fin d'année à tous.