XZ Utils庫驚爆後門，多個Linux版本受害！駭客可遠端取得系統控制權

2024 / 03 / 30

編輯部

Red Hat公司近日緊急公告，警告廣泛利用的數據壓縮庫XZ Utils (之前稱為LZMA Utils)的兩個版本中存在惡意程式碼，可允許未經授權的遠端訪問。

網路安全研究人員近日發現，XZ Utils資料壓縮程式庫的5.6.0和5.6.1兩個版本中，藏有可供駭客遠端操控系統的漏洞CVE-2024-3094，CVSS評分為10.0，被列為最高等級的嚴重漏洞。

駭客透過一連串的混淆手法，竄改了liblzma程式庫的關鍵功能。受污染的程式庫一旦被其他軟體載入使用，就會啟動隱藏的惡意運作，干擾SSH遠端登入服務的sshd防護程序，並可能允許攻擊者繞過SSHD身份驗證，遠端取得對系統的未經授權訪問。一旦身份驗證被繞過，駭客即可在網路上遙控受害系統。

目前已確認受漏洞影響的Linux發行版有Fedora 41、42、Kali Linux、openSUSE Tumbleweed及部分Debian版本。所有版本的Red Hat Enterprise Linux都未受影響。發行商已暫時下架問題版本，並建議用戶暫時切換至未被入侵污染的5.4.6穩定版。

駭客是透過Tukaani專案的GitHub帳號，分四次提交惡意程式碼至XZ Utils原始碼庫。有研究人員懷疑該帳號被駭或是內賊所為。此一供應鏈攻擊事件再次凸顯了開源專案的安全防護需要被重視。

Red Hat在一份安全通知中表示：「通過一系列複雜的混淆手段，liblzma的構建過程從原始碼中偽裝的測試文件中提取一個預建的物件文件，隨後用於修改liblzma程式碼中的特定功能。」

美國CISA也發布了相關警報，敦促用戶將XZ Utils降級到未被入侵的版本，如XZ Utils 5.4.6穩定版。

本文轉載自thehackernews。

XZ Utils Linuxm LZMA Utils 供應鏈安全 CVE-2024-3094