Бэкдор в XZ Utils (CVE-2024-3094): атака на цепочку поставок, пойманная в последний момент

Публично раскрыта: 29 марта 2024

29 марта 2024 года разработчик заметил, что вход по SSH на тестовой системе стал чуть медленнее обычного. Разбираясь, он обнаружил, что версии 5.6.0 и 5.6.1 XZ Utils — библиотеки сжатия, которая есть почти в каждой системе Linux, — содержат тщательно спрятанный бэкдор. Один из участников проекта годами завоёвывал доверие, прежде чем его внедрить.

Почему это важно

Из-за того, как некоторые дистрибутивы связывают SSH-сервер с системными библиотеками, бэкдор мог позволить злоумышленнику выполнять команды на серверах через SSH. Он попал в основном в тестовые и rolling-выпуски (Debian testing, бета Fedora 40, Arch); большинство стабильных серверных выпусков не пострадало, потому что его нашли рано.

Что делать

1. Проверьте версию: xz --version. Версии 5.6.0 и 5.6.1 нужно заменить.
2. На рабочих серверах используйте стабильные поддерживаемые выпуски дистрибутивов, а не тестовые ветки.
3. Ограничьте доступ по SSH через VPN или известные адреса и используйте вход по ключам.
4. Ведите реестр ПО и библиотек (SBOM) и подпишитесь на бюллетени безопасности дистрибутива.
5. Отдавайте предпочтение поставщикам и открытым проектам с активной поддержкой и прозрачными процессами.

Любое ПО построено на доверии. Проверяйте, где можно, и ограничивайте то, что может добраться до ваших серверов.

Источники: Openwall oss-security, CISA alert, NVD CVE-2024-3094.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи