xzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094)

2024.03.30

03/29/2024にxzの脆弱性(バックドア埋め込み: Critical: CVE-2024-3094)が公開されました。Fedora Linux 40beta, Fedora rawhide, Debian unstable等の一部のOpenSSHにも使われており、バックドアを利用してログインが出来る状態だったという話も出ています。ソフトウェアサプライチェーン攻撃の一つとも捉えられており、いずれSBOMと関係する話として取り上げられると思います。

（SBOMの話、VEXの話はこちら）。

今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

【04/01/2024 09:45更新】情報が纏まっているサイトを更新しました。また、piyologさんからリンクを貼っていただいていたので、こちらも載せています。その他、「xz –version」を実行するのもだめという話が流れていましたが、今の所根拠が不明瞭なので「xz –versionを実行するのは安全のためやめて下さい」にとどめておきます。

【03/31/2024 16:50更新】各ニュースソース・ディストリビューション・団体などのリンクを追加しました。また、現時点で影響を受けるとわかっている製品の情報を追加しました。

【03/31/2024 08:50更新】03/31現在も一次情報のoss-security MLで議論が行われています（これを更新している最中も1時間に3本はメールが飛んでいて情報交換が行われています）。そのため、「確定した情報」を得たいユーザは、少なくとも週明けまで待ったほうが良いと思われます。

関連情報（逐次更新）

xzのバージョン確認方法

  • 「xz –version」を実行するのもだめ、という情報が流れています。ただ、こちらは情報元と思われるツイートを遡っても「マルウェアにやられたバイナリをバージョン確認としても実行するのは駄目だろ」以上の話が見えなかったので、今のところは「安全のため、確認したい場合には”xz –version”ではなく、rpmやapt等のパッケージ管理ツールを使用して下さい」のレベルだと思います。ソースから入れてる人は、ソースを見る感じかな。
  • こちらによると、パッケージ管理ツール以外（ソースから入れてるとか）では、下記のようなバージョン確認が推奨です（xzのパスは環境に合わせて調整して下さい）。
    • strings /usr/local/bin/xz | grep “(XZ Utils)”
    • strings `which xz` | grep “(XZ Utils”

各団体・ニュース等

各ディストリビューション・アプリ・開発コミュニティの情報

影響があるとされるディストリビューション・製品

以下のディストリビューション・製品は影響があるとされています。

CVSS/プライオリティ

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-3094
  • 悪意のあるコードの混入
  • xzのtarアーカイブで、アップストリームバージョンの5.6.0以降に悪意のあるコードが混入されていることがわかりました。liblzmaビルドプロセスにおいて複雑な難読化を用いてソースコード内の偽装テストファイルからビルド済みオブジェクトファイルを抽出します。このファイルは、liblzmaコード内の特定の関数を変更するために使用されます。 これにより、改変されたliblzmaライブラリが作成され、このライブラリにリンクされた任意のソフトウェアで使用できるようになり、このライブラリとのデータのやりとりを傍受・変更することができます。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

タイトルとURLをコピーしました