作者yurucamp (ゆるキャン△)
看板Linux
标题[新闻] XZ Utils资料压缩程式库被植入後门
时间Sun Mar 31 08:43:42 2024
https://www.ithome.com.tw/news/162040
使用SSHD连接到系统的用户当心！因为骇客供应链攻击锁定XZ Utils库植入隐密後门，多个Linux发行版受影响
研究人员Andres Freund在3月29日揭露XZ Utils资料压缩程式库被植入後门，同日Red Hat也发布相关紧急安全通告，指出CVE-2024-3094是CVSS v3风险层级满分10分的漏洞，已确定Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed/MicroOS，部分Debian版本受影响
文/罗正汉 | 2024-03-30发表
今天周六早上，以揭露Exchange重大漏洞ProxyLogon闻名的台湾资安研究人员Orange Tsai，还有其他国内资安社群成员，都在社群平台发文针对一项关於SSHD的供应链攻击提出探讨与示警。
这是因为，研究人员Andres Freund在3月29日於Openwall公布一起涉及SSH伺服器的供应链攻击状况，并指出问题出在XZ Utils资料压缩程式库被植入後门，另也说明Red Hat已将此漏洞指派为CVE-2024-3094，且给出CVSS v3风险层级满分10分。
此事件影响广泛，Andres Freund表示，他是在调查SSH登入变慢相关问题时，最初以为发现debian里面的套件包被入侵，但事实上是来自上游的问题，XZ程式库与XZ的tarball档案被植入後门，也就是一桩软体供应链攻击事件。这也再次显现开源软体供应链安全的重要性。
关於此次後门的影响，在Red Hat发布的紧急安全通告中也有说明，恶意程式码修改了XZ Utils套件中名为liblzma部分程式码的功能，这也导致每一软体连结到XZ Utils，并允许变更与程式库一起使用的资料，都会受到影响。而Freund所观察到的例子，在某些特定条件下，这个後门可让攻击者绕过SSHD（Secure Shell Daemon）的身分认证机制，进而针对受影响的系统做到未经授权的存取。
至於有哪些版本受影响，以XZ Utils资料压缩程式库而言，Andres Freund指出受影响的版本是XZ Utils的5.6.0和5.6.1；以其他使用XZ Utils的软体系统而言，目前已确认多个多个Linux发行版本受影响，包括：Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed与openSUSE MicroOS，以及部分Debian版本。
美国CISA也已经对此提出警告，并建议建议开发人员与使用者可先将XZ Utils降级、恢复到未被入侵的版本，如XZ Utils 5.4.6稳定版。同时用户也该进行事件回应、清查入侵状况，以确定是否可能已经受到後门的影响。
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 112.104.88.203 (台湾)
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Linux/M.1711845826.A.A68.html
2F：→ Kabuya: 看起来颇严重 03/31 13:28
4F：推 Bencrie: 微软员工发现的後门。疑似中国人用印尼的跳板上的 commit 03/31 17:47
5F：→ Bencrie: 是说那家伙参与了很多的 opensource project 03/31 17:47
6F：→ Bencrie: 所以可能有不少东西要检查一下有没有被加料吧 03/31 17:47
7F：推 jksen: 植入後门的JiaT75布局了三年，很有耐性，恐怖 03/31 23:27
8F：推 ivon852: jia775出来打球 04/01 03:34
9F：→ ivon852: 打错，JiaT75，Github已经把他帐号封了 04/01 03:35
10F：推 s9041200: 太狠了，这麽基本的lib居然会被加料 04/01 10:24
11F：推 s9209122222: 恐怕跟解放军有关系吧 04/01 13:38
12F：推 guezt: 差一点就塞进去Ubuntu 24.04 LTS了 04/01 13:42
13F：→ guezt: 不然目前主流长期支援版本还没有用这麽新的xz utils 04/01 13:45
14F：推 guezt: 我用的mageia因为人手不足 开发版本还停在5.4.6... 04/01 17:17
15F：推 funk443: 好险 Debian 12 的版本还停留在 5.4.1 04/01 19:45
16F：推 jksen: mageia 好久没听到它了 04/01 22:13
17F：→ jksen: 有网友去分析JiaT75的贡献纪录作息，推测他可能是东欧人 04/01 22:14
18F：→ jksen: 圣诞连假休息，但农历年等华人节目还是工作 04/01 22:15
19F：推 Bencrie: Jia Tan 看起来很中文就是 XD 04/02 00:22
20F：推 Bencrie: Jia Cheong Tan。名字也有可能假的就是 04/02 00:27
21F：推 guezt: 都花这麽大的功夫 弄个假名只是顺便而已了 04/02 09:13
22F：→ tomsawyer: 没事 先往中国解放军身上扯就对了 都是对岸的错 04/02 11:46
24F：推 s9209122222: 还刻意强调没有国家赞助，超可疑 XDDD 04/03 06:46
25F：推 rickieyang: 此地无银 04/03 10:01
26F：推 dzwei: 好险arch很久以前就改成zstd了 04/03 10:55
27F：推 Rollnmeow: WIRED的报导中有专家意见认为主谋最可能还是俄国APT29 04/04 04:18
28F：→ Rollnmeow: 因为手法比中国和北韩的团体精细许多 04/04 04:19
29F：推 jksen: 俄罗斯也满有可能，应该就是东欧跟俄罗斯那时区的人做的 04/04 12:56
30F：推 cancelpc: 俄 是全民教育包含程设，所以意外的资讯人才多(有点跟印 04/08 16:03
31F：→ cancelpc: 度一样，翻身的机会) 04/08 16:03
32F：推 ww: 怀疑是俄罗斯是北韩是CIA是以色列都可以 但只有提到解放军就 04/10 13:27
33F：→ ww: 会有人不爽 真是奇怪 04/10 13:27
34F：推 s9209122222: 政治脑不爽正常 04/10 16:25
35F：推 Dracarys: 那个X帐号是parody account吧 04/13 15:23