一、 漏洞 CVE-2024-3094 基础信息

                                        # Xz：分布式源代码中的恶意代码

## 漏洞概述
恶意代码在 xz 的上游 tarballs 中被发现，影响从 5.6.0 版本开始。通过一系列复杂的混淆手段，liblzma 构建过程中会从一个伪装的测试文件中提取出一个预构建的对象文件，并修改 liblzma 代码中的特定功能。这会导致一个修改过的 liblzma 库，进而拦截和修改所有与此库进行数据交互的软件。

## 影响版本
- 5.6.0 及以上版本

## 漏洞细节
1. 恶意代码存在于 xz 的上游 tarballs 中。
2. 通过复杂混淆手段，liblzma 的构建过程会从一个伪装成测试文件的文件中提取出预构建的对象文件。
3. 该对象文件用于修改 liblzma 代码中的特定功能。
4. 修改后生成的 liblzma 库可以拦截和修改与该库进行数据交互的所有软件。

## 漏洞影响
- 会导致一个修改后的 liblzma 库，任何与该库进行数据交互的软件都会受到影响。
- 可以拦截和修改数据交互，从而可能引发数据泄露或其他安全问题。
                                        

二、漏洞 CVE-2024-3094 的公开POC

三、漏洞 CVE-2024-3094 的情报信息

• https://boehs.org/node/everything-i-know-about-the-xz-backdoor
• http://www.openwall.com/lists/oss-security/2024/03/29/12
• https://security-tracker.debian.org/tracker/CVE-2024-3094
• https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094
• http://www.openwall.com/lists/oss-security/2024/03/29/4

• 标题： Urgent security alert for Fedora 40 and Fedora Rawhide users -- 🔗来源链接

  标签：

  神龙速读：

                                          ### 关键信息摘要
  
  - **CVE编号**: CVE-2024-3094
  - **受影响的版本**: Fedora Linux 40 (x86_64架构版本5.6.0-1.fc40和5.6.0-2.fc40) 和 Fedora Rawhide
  - **漏洞描述**: xz库版本5.6.0和5.6.1包含恶意代码，旨在允许未经授权的访问。恶意代码干扰systemd下的sshd认证，可能在特定条件下导致恶意行为者破坏sshd认证，从而远程获得系统未授权访问。
  - **漏洞状态**: 
    - 目前Fedora Linux 40构建尚未被证实受到恶意代码的感染，但建议用户降级到5.4.x版本以保证安全。
    - Fedora Rawhide用户应立即停止使用，等待x86_64版本5.4.x发布后重新部署。
  - **更新**: 
    - 已发布更新将xz降级到5.4.x版本，用户可以通过正常更新系统获取。
    - 更新后的Fedora Linux 40 beta包含两个受影响版本的xz库，分别是xz-libs-5.6.0-1.fc40.x86_64.rpm和xz-libs-5.6.0-2.fc40.x86_64.rpm。
  - **解决方案**: 
    - Fedora Linux 40用户可以按照说明降级到5.4.x版本。
    - Fedora Rawhide用户应等待未来版本发布。
    - 其他可能受影响的Linux发行版用户应咨询其发行版提供商。
                                          

  
• https://ariadne.space/2024/04/02/the-xz-utils-backdoor-is-a-symptom-of-a-larger-problem/
• https://www.vicarius.io/vsociety/vulnerabilities/cve-2024-3094
• https://xeiaso.net/notes/2024/xz-vuln/
• https://openssf.org/blog/2024/03/30/xz-backdoor-cve-2024-3094/
• http://www.openwall.com/lists/oss-security/2024/03/29/5
• http://www.openwall.com/lists/oss-security/2024/03/30/12
• https://research.swtch.com/xz-timeline
• https://research.swtch.com/xz-script
• https://twitter.com/debian/status/1774219194638409898
• https://www.kali.org/blog/about-the-xz-backdoor/
• https://discourse.nixos.org/t/cve-2024-3094-malicious-code-in-xz-5-6-0-and-5-6-1-tarballs/42405
• https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1068024
• https://twitter.com/infosecb/status/1774595540233167206
• http://www.openwall.com/lists/oss-security/2024/03/30/5
• https://www.tenable.com/blog/frequently-asked-questions-cve-2024-3094-supply-chain-backdoor-in-xz-utils
• https://lists.freebsd.org/archives/freebsd-security/2024-March/000248.html
• https://bugs.gentoo.org/928134
• https://lists.debian.org/debian-security-announce/2024/msg00057.html
• https://twitter.com/LetsDefendIO/status/1774804387417751958
• https://gynvael.coldwind.pl/?lang=en&id=782

• 标题： CVE-2024-3094 — Alpine Security Tracker -- 🔗来源链接

  标签：

  神龙速读：

                                          ### 关键信息总结
  
  #### 漏洞概述
  - **CVE编号**: CVE-2024-3094
  - **描述**: 在xz的5.6.0版本及以上中发现恶意代码，这些代码通过伪装的测试文件中的预构建对象文件，被liblzma构建过程提取，进而修改liblzma中的特定函数，导致任何链接该库的软件能够拦截和修改与该库交互的数据。
  
  #### 严重性与追踪
  - **NVD严重性**: 未知
  - **其他追踪器**: CVE, NVD, CERT, CVE Details, CIRCL, Arch Linux, Debian, Red Hat, Ubuntu, Gentoo, SUSE (Bugzilla), SUSE (CVE), Mageia
  - **邮件列表**: oss-security, full-disclosure, bugtraq
  - **利用库**: Exploit DB, Metasploit
  - **仓库**: GitHub (code, issues), Aports (code, issues)
  
  #### 版本影响与修复状态
  - **受影响的源包和版本**
    - **xz**
      - edge-main: 5.6.1-r3 (已修复), 5.6.1-r2 (已修复), 5.6.1-r2 (未指定维护者, 已修复)
      - 3.22-main: 5.6.1-r2 (已修复)
      - 3.21-main: 5.6.1-r2 (未指定维护者, 已修复), 5.6.1-r3 (已修复)
      - 3.20-main: 5.6.1-r2 (未指定维护者, 已修复), 5.6.1-r3 (已修复)
    - **lighttpd**
      - 3.18-main: 1.4.76-r0 (已修复)
      - 3.17-main: 1.4.76-r0 (已修复)
  
  #### 参考链接
  列出多个与漏洞相关的细节描述、文章、安全公告等链接，便于进一步深入研究与验证。
  
  此漏洞涉及供应链安全问题，影响广泛的Linux工具库，其修复工作和影响评估非常重要。
                                          

  
• https://security.netapp.com/advisory/ntap-20240402-0001/
• https://security.archlinux.org/CVE-2024-3094
• https://github.com/amlweems/xzbot
• https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/
• https://lwn.net/Articles/967180/
• https://aws.amazon.com/security/security-bulletins/AWS-2024-002/
• https://news.ycombinator.com/item?id=39865810
• http://www.openwall.com/lists/oss-security/2024/03/29/10
• https://news.ycombinator.com/item?id=39895344
• https://access.redhat.com/security/cve/CVE-2024-3094vdb-entryx_refsource_REDHAT
• https://github.com/advisories/GHSA-rxwq-x6h5-x525
• https://www.theregister.com/2024/03/29/malicious_backdoor_xz/
• https://bugzilla.suse.com/show_bug.cgi?id=1222124
• https://www.openwall.com/lists/oss-security/2024/03/29/4
• http://www.openwall.com/lists/oss-security/2024/03/30/36
• https://tukaani.org/xz-backdoor/
• https://twitter.com/infosecb/status/1774597228864139400
• https://www.darkreading.com/vulnerabilities-threats/are-you-affected-by-the-backdoor-in-xz-utils
• https://blog.netbsd.org/tnf/entry/statement_on_backdoor_in_xz
• https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

• 标题： CVE-2024-3094 | Ubuntu -- 🔗来源链接

  标签：

  神龙速读：

                                          ## 关键信息
  
  ### 漏洞标识
  - CVE: CVE-2024-3094
  
  ### 发布与更新信息
  - 发布日期: 2024年3月29日
  - 最后更新: 2025年8月4日
  
  ### 漏洞优先级与严重程度
  - Ubuntu 优先级: 关键（Critical）
  - CVSS v3 严重程度评分: 10.0 - 关键
  
  ### 描述
  - 在xz从5.6.0版本开始的上游tarballs中，发现了恶意代码。通过一系列复杂的混淆技术，liblzma的构建过程从源代码中存在的伪装测试文件中提取了一个预构建的对象文件，用于修改liblzma代码中的特定函数。这导致生成一个修改后的liblzma库，任何链接到该库的软件都可以使用它，从而拦截和修改与该库的数据交互。
  
  ### 漏洞影响范围
  - 问题导致在sshd中产生后门
  
  ### 状态
  - 包: xz-utils
  - Ubuntu 发行版:
    - 24.04 LTS (noble): 未受影响
    - 22.04 LTS (jammy): 未受影响
    - 20.04 LTS (focal): 未受影响
    - 18.04 LTS (bionic): 未受影响
    - 16.04 LTS (xenial): 未受影响
    - 14.04 LTS (trusty): 未受影响
  
  ### 严重程度评分细分
  - 基本分数: 10.0 - 关键
  - 攻击向量: 网络
  - 攻击复杂性: 低
  - 所需权限: 无
  - 用户交互: 无
  - 影响范围: 已更改
  - 机密性影响: 高
  - 完整性影响: 高
  - 可用性影响: 高
  - 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
                                          

  
• http://www.openwall.com/lists/oss-security/2024/03/30/27
• http://www.openwall.com/lists/oss-security/2024/03/29/8
• http://www.openwall.com/lists/oss-security/2024/04/16/5
• https://github.com/karcherm/xz-malware
• https://news.ycombinator.com/item?id=39877267
• https://bugzilla.redhat.com/show_bug.cgi?id=2272210issue-trackingx_refsource_REDHAT
• https://nvd.nist.gov/vuln/detail/CVE-2024-3094

四、漏洞 CVE-2024-3094 的评论