CVE-2024-3094 脆弱性 (XZ バックドア)

セキュリティ アナリストは最近、壊滅的な影響をもたらす可能性のある重大な脆弱性を発見しました。緊急のセキュリティ勧告によると、広く使用されているデータ圧縮ツールである XZ Utils (旧名 LZMA Utils) の 2 回のバージョンが悪意のあるコードによって侵害されました。このコードにより、影響を受けるシステムへの不正なリモート アクセスが可能になります。

このセキュリティ侵害は CVE-2024-3094 として識別され、CVSS スコアは 10.0 と評価され、最高レベルの重大度を示します。 XZ Utils のバージョン 5.6.0 (2024 年 2 月 24 日にリリース) および 5.6.1 (2024 年 3 月 9 日にリリース) に影響します。

このエクスプロイトには、liblzma ビルド プロセスの高度な操作が含まれます。具体的には、ソース コード内の偽装されたテスト ファイルから、事前に構築されたオブジェクト ファイルが抽出されます。このオブジェクト ファイルは、liblzma コード内の特定の関数を変更するために使用され、侵害が永続化されます。

CVE-2024-3094 の脆弱性により、攻撃者は任意のペイロードを送信することができます

この脅威的なプロセスにより、liblzma ライブラリの修正バージョンが生成され、それを利用するソフトウェアとのデータ通信を傍受して変更できるようになります。

より正確には、ライブラリ内に埋め込まれた不正なコードは、systemd ソフトウェア スイートを通じて SSH (Secure Shell) のコンポーネントである sshd デーモン プロセスを中断するように作成されています。この操作により、特定の条件が満たされることを条件として、脅威アクターに sshd 認証を侵害し、リモートからシステムに不正にアクセスする能力が与えられる可能性があります。

CVE-2024-3094 によって導入された有害なバックドアの最終的な目的は、被害を受けたマシン上で実行されている OpenSSH サーバー (SSHD) にコードを挿入することです。これにより、特定の秘密キーを所有する特定のリモート攻撃者が SSH 経由で任意のペイロードを送信できるようになります。これらのペイロードは認証段階の前に実行され、被害を受けたシステム全体の制御を事実上掌握します。

CVE-2024-3094 脆弱性は、詐欺関連の攻撃者によって意図的に導入された可能性があります

複雑に隠蔽された悪意のあるコードは、Jia Tan (JiaT75) と呼ばれるユーザーによる GitHub 上の Tukaani プロジェクトへの 4 回のコミットを通じて統合されたようです。

数週間にわたる継続的な活動を考慮すると、コミッターが直接関与しているか、システムの重大な侵害を経験していることを示唆しています。しかし、「修正」とされるものに関してさまざまなフォーラムで彼らが関与していることを考えると、後者のシナリオはあまり現実的ではないようです。

現在 Microsoft の所有下にある GitHub は、GitHub の利用規約違反を理由に、Tukaani Project が管理する XZ Utils リポジトリを非アクティブ化するという措置を講じました。現時点では、実際の環境での積極的な悪用の報告はありません。

調査の結果、これらの侵害されたパッケージは Fedora 41 および Fedora Rawhide ディストリビューションにのみ存在することが示されています。 Alpine Linux、Amazon Linux、Debian Stable、Gentoo Linux、Linux Mint、Red Hat Enterprise Linux (RHEL)、SUSE Linux Enterprise および Leap、Ubuntu などの他の主要なディストリビューションは、このセキュリティ問題の影響を受けません。

CVE-2024-3094 バックドアの脆弱性の軽減

Fedora Linux 40 のユーザーは、5.4 ビルドに戻すことが推奨されています。さらに、次のような他のいくつかの Linux ディストリビューションもサプライ チェーン攻撃の影響を受けています。

Arch Linux (インストール メディア 2024.03.01、仮想マシン イメージ 20240301.218094 および 20240315.221711、および 2024 年 2 月 24 日から 2024 年 3 月 28 日の間に作成されたコンテナー イメージ)

• Kali Linux (3 月 26 日から 3 月 29 日まで)
• openSUSE Tumbleweed および openSUSE MicroOS (3 月 7 日から 3 月 28 日まで)
• Debian テスト版、不安定版、実験版 (5.5.1alpha-0.1 から 5.6.1-1 の範囲)

この進展により、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) は独自の警告を発し、XZ Utils を侵害の影響を受けないバージョン (XZ Utils 5.4.6 Stable など) に戻すようユーザーに勧告しました。