CVE-2024-3094
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
- **本质**：xz 5.6.0/5.6.1 被植入**恶意代码**🚨
- **后果**：攻击者可远程未授权访问系统💥
- 破坏**机密性/完整性/可用性** → CVSS 满分级危险🔥
Q2根本原因？（CWE/缺陷点）
- **缺陷点**：构建流程中提取伪装测试文件→注入恶意对象🧩
- 修改 `liblzma` 函数逻辑 → 劫持数据流🕵️
- 类似**供应链投毒**，无明确 CWE 编号但属**构建污染**
Q3影响谁？（版本/组件）
- **影响版本**：XZ Utils **5.6.0**、**5.6.1**⚠️
- **组件**：`xz`、`liblzma`（Linux 常见压缩库）📦
- 含该库的发行版（如 Fedora 41、Rawhide）风险高🐧
Q4黑客能干啥？（权限/数据）
- **权限**：可获取**未授权远程访问**🚪
- **数据**：拦截/篡改程序与 `liblzma` 交互的数据📡
- 潜在完全控制受影响系统👑
Q5利用门槛高吗？（认证/配置）
- **利用门槛低**📉
- **无需认证**✅（`PR:N`）
- **无需用户交互**✅（`UI:N`）
- 只需目标使用受影响版本+加载恶意库
Q6有现成Exp吗？（PoC/在野利用）
- ✅ **有 PoC**：GitHub 多检测/利用脚本🔍
- 例：[CVE-2024-3094-checker](https://github.com/FabioBaroni/CVE-2024-3094-checker)
- 例：[xzbot](https://github.com/amlweems/xzbot)
- ⚠️ **已在野利用**（Red Hat 发紧急警报）🚨
Q7怎么自查？（特征/扫描）
- 🔍 **查版本**：`xz --version` 看是否为 5.6.0/5.6.1
- 🛠️ **用检测脚本**：
- `wget ...CVE-2024-3094-checker.sh` → `./checker.sh`
- 多仓库提供一键检测工具📋
- 📌 **特征**：构建过程异常、签名不符
Q8官方修了吗？（补丁/缓解）
- 🚨 **官方暂下架源码**（GitHub 因 ToS 违规移除）
- 🛡️ **建议降级**至 **XZ Utils 5.4.6**（稳定未污染）✅
- CISA & Red Hat 发安全通告推动修复📣
Q9没补丁咋办？（临时规避）
- 🔽 **立即降级** xz-utils 到 5.4.6📉
- 🚫 **卸载 5.6.0/5.6.1** 并锁定版本防误升🔒
- 🧪 **重编译不含恶意逻辑的版本**（若需新版）
Q10急不急？（优先级建议）
- 🔥 **极高优先级**！CVSS 9.8 🚨
- 涉及**核心压缩库**→影响广🌐
- 易被用于**SSH 后门等攻击链**🔗
- **立刻自查+降级**保平安⏰