Backdoor xz-utils (CVE-2024-3094): bài học về chuỗi cung ứng mã nguồn mở
Mã độc được cài cắm vào tarball phát hành xz 5.6.0 và 5.6.1, nhắm vào sshd thông qua liblzma. Sự cố bị phát hiện trước khi lan rộng vào các bản phân phối ổn định.
Tháng 3/2024, kỹ sư Andres Freund phát hiện độ trễ bất thường khi đăng nhập SSH và lần ra backdoor trong xz-utils 5.6.0/5.6.1 (CVE-2024-3094).
Mã độc chỉ có trong tarball phát hành, không nằm trực tiếp trong mã nguồn trên git, và được kích hoạt qua script build. Thư viện liblzma bị sửa đổi để can thiệp vào quá trình xác thực của sshd trên các hệ thống liên kết sshd với libsystemd.
Bài học
- Đối chiếu tarball phát hành với mã nguồn trong kho; ưu tiên build tái lập (reproducible build).
- Theo dõi sức khỏe của dự án và người duy trì, không chỉ lỗ hổng mã.
- Lập SBOM để xác định nhanh hệ thống bị ảnh hưởng.
🛡️ Thông tin lỗ hổng liên quan (1)
Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AIXz: mã độc trong mã nguồn được phát hành
Đã phát hiện mã độc trong các gói tarballs nguồn gốc của xz, bắt đầu từ phiên bản 5.6.0. Qua một loạt các phức tạp hóafuscations, quá trình xây dựng liblzma lấy một tệp đối tượng đã xây dựng từ một tệp kiểm tra được giấu kín tồn tại trong mã nguồn, sau đó sử dụng tệp này để sửa đổi các hàm cụ thể trong mã nguồn liblzma. Điều này dẫn đến một thư viện liblzma đã được sửa đổi có thể được sử dụng bởi bất kỳ phần mềm n…
Ban biên tập nội dung và phân tích an ninh mạng tại HueCA-CYBER.
Bài viết liên quan
Cùng chuyên mục & chủ đề
Nhóm ransomware n0n tấn công Expedia, rò rỉ dữ liệu 1 tỷ người
Hướng dẫn quốc tế về công cụ tấn công mạng thương mại được công bố
Nhóm tấn công sử dụng AI khai thác lỗ hổng zero-day trong XaocMail
