3 月 29 日，据报道，在 XZ Utils 中检测到了允许未经授权的远程 SSH 访问的恶意代码，XZ Utils 是主要 Linux 发行版中广泛使用的软件包（最初托管于此的GitHub 项目现已暂停）。幸运的是，OSS 社区很快发现了该恶意代码，并且仅感染了该软件包的两个最新版本，即上个月发布的 5.6.0 和 5.6.1。大多数 Linux 发行版的稳定版本均未受到影响。
受影响的 XZ Utils 版本附带的复杂恶意负载与 OpenSSH 服务器（SSHD）在相同的进程中运行，并修改了 OpenSSH 服务器中的解密例程，以允许特定的远程攻击者（拥有特定的私钥）通过 SSH 发送任意负载，这些负载将在身份验证步骤之前执行，从而有效地劫持整个受害机器。
这次供应链攻击震惊了 OSS 社区，因为 XZ Utils 被认为是一个值得信赖且经过严格审查的项目。攻击者在多年的时间里建立了作为 OSS 开发人员的可靠声誉，并使用高度混淆的代码来逃避代码审查的检测。在我们最初的研究交流之后，这篇文章将详细介绍其基本原理和影响。
谁受到 CVE-2024-3094 的影响？
以下发行版受到了此次攻击的影响——
| 分配 | 受影响的分支 | 受影响的软件包 | 补救措施 | 评论 |
|---|---|---|---|---|
| Fedora | 40、41、Rawhide（积极开发） | xz-5.6.0-xz-5.6.1- | Fedora 40 – 更新到最新版本（5.4.x）。Fedora 41 和 Rawhide – 立即停止使用。 | |
| Debian | 测试，不稳定（sid），实验 | xz-utils 5.5.1alpha-0.1（2024-02-01 上传），最高至 5.6.1-1 | 更新至最新版本（5.6.1+really5.4.5-1） | 不影响稳定分支 |
| 高山 | Edge（积极开发） | xz 5.6.1-r0、5.6.1-r1 | 更新至最新版本（5.6.1-r2） | 不影响稳定分支 |
| 时间 | 不适用 | xz-utils 5.6.0-0.2（Kali 安装于 3 月 26 日至 3 月 29 日之间更新） | 更新至最新版本（5.6.1+r |
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
