CVE-2024-3094
Đã công bốXz: mã độc trong mã nguồn được phát hành
Đã phát hiện mã độc trong các gói tarballs nguồn gốc của xz, bắt đầu từ phiên bản 5.6.0. Qua một loạt các phức tạp hóafuscations, quá trình xây dựng liblzma lấy một tệp đối tượng đã xây dựng từ một tệp kiểm tra được giấu kín tồn tại trong mã nguồn, sau đó sử dụng tệp này để sửa đổi các hàm cụ thể trong mã nguồn liblzma. Điều này dẫn đến một thư viện liblzma đã được sửa đổi có thể được sử dụng bởi bất kỳ phần mềm nào liên kết với thư viện này, intercepting và sửa đổi giao tiếp dữ liệu với thư viện này.
- CNA cấp mã
- redhat
- Ngày công bố
- 29/03/2024
- Cập nhật
- 05/11/2026
- CVSS (NVD)
- 10 · CRITICAL
- Loại lỗi (CWE)
- CWE-506 — Embedded Malicious Code
- EPSS (FIRST)
- 90.90% khả năng bị khai thác trong 30 ngày
Sản phẩm bị ảnh hưởng
- — — 5.6.0; 5.6.1
- Red Hat Red Hat Enterprise Linux 10
- Red Hat Red Hat Enterprise Linux 6
- Red Hat Red Hat Enterprise Linux 7
- Red Hat Red Hat Enterprise Linux 8
- Red Hat Red Hat Enterprise Linux 9
- Red Hat Red Hat JBoss Enterprise Application Platform 8
Tham chiếu (4)
- https://access.redhat.com/security/cve/CVE-2024-3094 [vdb-entry, x_refsource_REDHAT]
- https://bugzilla.redhat.com/show_bug.cgi?id=2272210 [issue-tracking, x_refsource_REDHAT]
- https://www.openwall.com/lists/oss-security/2024/03/29/4
- https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
Tin tức liên quan trên HueCA-CYBER (1)
- Backdoor xz-utils (CVE-2024-3094): bài học về chuỗi cung ứng mã nguồn mở · NVD — CVE-2024-3094 · 12/11/2026