Backdoor wstrzyknięty do narzędzi kompresji XZ w kilku dystrybucjach Linuksa

Ze względu na niezwykle wysokie zużycie procesora i komunikaty o błędach podczas korzystania ze zdalnego logowania przez SSH, twórca oprogramowania Andreas Freund zauważył ogromną lukę w zabezpieczeniach swojej instalacji Debian SID. Deweloper był w stanie zidentyfikować przyczynę jako XZ-Tools, zbiór narzędzi kompresji zawartych w wielu dystrybucjach Linuksa i wykorzystywanych przez SSH.

Luka, nazwana CVE-2024-3094umożliwia nieautoryzowany zdalny dostęp do zagrożonych systemów Linux. Wersje zaatakowane przez backdoora to narzędzia XZ i powiązana z nimi biblioteka liblmza w wersjach 5.6.0 z końca lutego i 5.6.1 z 9 marca. Te skompromitowane wersje XZ, wprowadzone przez jednego z programistów XZ, omijają uwierzytelnianie SSH, umożliwiając atakującym uzyskanie pełnej zdalnej kontroli nad systemem.

Twórca oprogramowania Andreas Freund pisze o swoim odkryciu luki: "Po zaobserwowaniu kilku dziwnych objawów związanych z liblzma (część pakietu xz) na instalacjach Debiana sid w ciągu ostatnich tygodni (logowanie za pomocą ssh zabierające dużo procesora, błędy valgrind) znalazłem odpowiedź: Repozytorium upstream xz i tarballe xz zostały zablokowane. Na początku myślałem, że to kompromitacja pakietu Debiana, ale okazało się, że to upstream"

Kod backdoora został tylko częściowo ukryty w otwartym kodzie źródłowym na GitHub, a sam GitHub zawiesił na razie konto XZ Utilities. Dotknięte dystrybucje Linuksa, dla których dostępne są już aktualizacje, z wyjątkiem Fedora Rawhide, to

• Debian testowy, niestabilny i eksperymentalny
• Fedora Rawhide
• Arch Linux
• openSUSE Tumbleweed

Dystrybucje takie jak Debian Stable, Fedora 39, openSUSE Leap lub Red Hat Enterprise Linux (RHEL) nie są dotknięte luką w XZ Utilities. Jeśli korzystają Państwo z jednej z powyższych dystrybucji Linuksa, mogą Państwo sprawdzić numer wersji XZ Utilities w konsoli za pomocą xz -version. Najlepiej jest przeprowadzić świeżą instalację, zwłaszcza jeśli dostęp SSH jest włączony w systemie Linux.