【高危安全通告】XZ Utilѕ 恶意后门漏洞

↑ 点击上方 关注我们2024年3月30日，安全狗应急响应中心发现安全社区披露了 XZ-Util存在 CVE-2024-3094后门漏洞风险。该后门存在于XZ Utils的5.6.0和5.6.1版本中，由于SSH底层依赖了liblzma（liblzma 是 XZ Utils 的一个核心组成部分），攻击者可能利用这一漏洞在受影响的系统上绕过SSH的认证获得未授权访问权限，执行任意代码。漏洞描述xz 是一种通用数据压缩格式，几乎存在于每个 Linux 发行版中，包括社区项目和商业产品发行版。从本质上讲，它有助于将大文件格式压缩（然后解压缩）为更小、更易于管理的大小，以便通过文件传输进行共享。2024年3月29日，有开发人员在Openwall安全邮件列表发布帖子称liblzma的代码可能被篡改，可能被植入后门代码，该问题记录在CVE-2024-3094下 。在XZ Utils的5.6.0和5.6.1版本中，上游源代码压缩包被破解，并在构建时向生成的 liblz ………………………………