3 月 29 日,据报道,在 XZ Utils 中检测到了允许未经授权的远程 SSH 访问的恶意代码,XZ Utils 是主要 Linux 发行版中广泛使用的软件包(最初托管于此的GitHub 项目现已暂停)。幸运的是,OSS 社区很快发现了该恶意代码,并且仅感染了该软件包的两个最新版本,即上个月发布的 5.6.0 和 5.6.1。大多数 Linux 发行版的稳定版本均未受到影响。
受影响的 XZ Utils 版本附带的复杂恶意负载与 OpenSSH 服务器(SSHD)在相同的进程中运行,并修改了 OpenSSH 服务器中的解密例程,以允许特定的远程攻击者(拥有特定的私钥)通过 SSH 发送任意负载,这些负载将在身份验证步骤之前执行,从而有效地劫持整个受害机器。
这次供应链攻击震惊了 OSS 社区,因为 XZ Utils 被认为是一个值得信赖且经过严格审查的项目。攻击者在多年的时间里建立了作为 OSS 开发人员的可靠声誉,并使用高度混淆的代码来逃避代码审查的检测。在我们最初的研究交流之后,这篇文章将详细介绍其基本原理和影响。
谁受到 CVE-2024-3094 的影响?
以下发行版受到了此次攻击的影响——
分配 | 受影响的分支 | 受影响的软件包 | 补救措施 | 评论 |
---|---|---|---|---|
Fedora | 40、41、Rawhide(积极开发) | xz-5.6.0-xz-5.6.1- | Fedora 40 – 更新到最新版本(5.4.x)。Fedora 41 和 Rawhide – 立即停止使用。 | |
Debian | 测试,不稳定(sid),实验 | xz-utils 5.5.1alpha-0.1(2024-02-01 上传),最高至 5.6.1-1 | 更新至最新版本(5.6.1+really5.4.5-1) | 不影响稳定分支 |
高山 | Edge(积极开发) | xz 5.6.1-r0、5.6.1-r1 | 更新至最新版本(5.6.1-r2) | 不影响稳定分支 |
时间 | 不适用 | xz-utils 5.6.0-0.2(Kali 安装于 3 月 26 日至 3 月 29 日之间更新) | 更新至最新版本(5.6.1+really5.4.5-1) | < |