はじめに

本記事は2024年3月29日に発見されたXZ Utilsの脆弱性（CVE-2024-3094）の概要について記載しています。

背景

XZ Utilsは、色々なLinuxディストリビューションで広く使用されている圧縮ライブラリです。

2024年3月29日、MicrosoftのPostgreSQL開発者であるAndres Freund氏によって、SSHパフォーマンスの問題を調査中にXZ Utilsを構成しているliblzma内で悪意のあるコードを発見し、Openwallのセキュリティメーリングリストで報告されました。

影響

CVE Numbering Authority（CNA）であるRed Hat社によって、CVE-2024-3094が割り当てられています。

ライブラリの影響範囲は、XZ Utilsの5.6.0及び5.6.1のバージョンが影響を受けます。悪意のあるコードは難読化されていて、ダウンロードパッケージに含まれています。

本記事執筆時点では、実際に侵害されたなどの事例は確認できていませんが、特定の条件下で悪意のある攻撃者によって、バックドアを用いたsshd認証に対する不正アクセスの可能性が懸念されています。

原因

脆弱性が作り込まれた原因については、本記事執筆時点では不明です。

Openwallのセキュリティメーリングリストの投稿を見ると、コミッターが直接関与しているか、システムに侵害があった可能性を仄めかしていますが、後者の可能性は低いと言われています。

Given the activity over several weeks, the committer is either directly
involved or there was some quite severe compromise of their
system. Unfortunately the latter looks like the less likely explanation, given
they communicated on various lists about the "fixes" mentioned above.

対応

基本的には各ディストリビューションの公式情報をご確認ください。

現在把握できている各ディストリビューションの公式情報について、以下に記載します。

影響を受けるディストリビューション

Distribution	Advisory
Arch Linux	The xz package has been backdoored
Debian（※unstable¹）	CVE-2024-3094
Fedora Linux 41・Fedora Rawhide users	Urgent security alert for Fedora Linux 40 and Fedora Rawhide users
Kali Linux	All about the xz-utils backdoor
openSUSE Tumbleweed・openSUSE MicroOS	openSUSE addresses supply chain attack against xz compression library
Ubuntu(※noble-proposed)	CVE-2024-3094

影響を受けないディストリビューション

Distribution	Advisory
Amazon Linux	CVE-2024-3094
Debian（※stable）	[SECURITY] [DSA 5649-1] xz-utils security update
Red Hat Enterprise Linux (RHEL)	CVE-2024-3094
SUSE Linux Enterprise・Leap	CVE-2024-3094

おわりに

その他のLinuxディストリビューションについては、現在確認中だと思われるため、それぞれの公式情報をご確認ください。

参考

Urgent: Secret Backdoor Found in XZ Utils Library, Impacts Major Linux Distros

不安定版 (unstable) ディストリビューション (sid) ↩