XZ Utils(之前称为LZMA Utils)是一套用于类Unix操作系统的免费软件命令行无损数据压缩工具集。
2024年3月,在XZ Utils的5.6版本分发中发现了一个后门。
目前,在企业使用的主流Linux发行版(Red Hat/CentOS/Debian/Ubuntu)的Stable稳定版仓库中尚未合并该存在后门的软件版本,企业内部可根据实际情况判断事件影响。
截至本文发出,长亭安全应急响应中心仍在分析与确认事件细节与事件影响,如后续有变更,将第一时间更新。
事件描述
Description
0****1
事件来源
2024年3月29日,在Openwall安全邮件列表上发布了一个帖子,提示liblzma的代码可能被篡改,而liblzma 是 XZ Utils 的一个核心组成部分。
在该帖子中,作者(Andres Freund)指出,有一些用于测试的tarballs被添加到了代码中,但最终却被用于通过对配置脚本的添加来设置后门。该问题被记录在CVE-2024-3094下,这个CVE ID是在公开漏洞后由Red Hat发出的。恶意代码已知存在于5.6.0和5.6.1版本中。
根据Red Hat的通告:
在适当的情况下,这种干扰可能使攻击者有机会破坏sshd认证,并远程获取对整个系统的未授权访问权限。
利用条件
Conditions
02
根据Openwall帖子:
TERM环境变量未设置
argv[0] 需要设置为 /usr/sbin/sshd
LD_DEBUG, LD_PROFILE 未设置
需要设置LANG
影响范围
Affects
03
XZ Utils == 5.6.0
XZ Utils == 5.6.1
Linux发行版
Version
04
截止目前,已知以下 Linux 发行版受影响:
发行版
安全公告
Fedora 41
https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
Fedora Rawhide(开发版)
https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
Debian sid, trixie(不稳定版)
https://security-tracker.debian.org/tracker/CVE-2024-3094
archlinux
https://security.archlinux.org/CVE-2024-3094
截止目前,已知以下 Linux 发行版不受影响:
发行版
安全公告
Fedora 40
https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
RedHat 全部版本
https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
Debian 所有稳定版
https://security-tracker.debian.org/tracker/CVE-2024-3094
SUSE 全部版本
https://www.suse.com/security/cve/CVE-2024-3094.html
排查方案
Troubleshooting
05
牧云本地检测方案
检测方法
下载本地专项检测工具,下载后运行适合操作系统和 CPU 架构的版本,如:
xz_cve_2024_3094_scanner_linux_amd64 scan
若输出结果包含“是否存在漏洞:是”或“VulnFound: true”则说明存在后门。
工具获取方式
https://stack.chaitin.com/tool/detail/1286
xz --version
查看结果是否为5.6.0或5.6.1
3/自查脚本**(来自Openwall帖子原作者)**
#! /bin/bash
解决方案
Solution
06
官方已发布更新,更新至最新版本5.6.4。
产品支持
Support
07
牧云主机安全管理平台支持筛选存在后门的工具版本。
在“牧云主机安全管理平台”-“资产清点”-“软件”中按“软件”搜索“xz”,如下图所示:
搜索结果如下图所示:
再按“版本号”搜索“5.6.0”和“5.6.1”,如下图所示:
时间线
Timeline
08
3月29日 互联网公开供应链投毒情报
3月30日 长亭安全应急响应中心发布通告
参考资料:
[1].https://www.openwall.com/lists/oss-security/2024/03/29/4
长亭应急响应服务
全力进行产品升级
及时将风险提示预案发送给客户
检测业务是否收到此次漏洞影响
请联系长亭应急团队
7*24小时,守护您的安全
第一时间找到我们:
应急响应热线:4000-327-707