CVE-2024-3094 XZ Utils Backdoor-Forschung – Angriffsflächen-Visualisierer, System-Schwachstellenprüfer und allgemeines Linux-CVE-Bewertungstool
Von Nikolaos Natsopoulos, IAM-Berater
Interaktives browserbasiertes Tool, das den Forschungsbericht begleitet:
„CVE-2024-3094: Kompromittierung der Lieferkette durch Social Engineering und Manipulation des Build-Systems in XZ Utils"
Im März 2024 wurde in XZ Utils (CVE-2024-3094) eine Backdoor entdeckt, nur wenige Momente, bevor sie stabile Linux-Distributionen weltweit erreichen konnte. Sie erhielt die maximale CVSS-Bewertung von 10,0. Bei dem Angriff infiltrierte ein fiktiver Mitwirkender das Projekt fast drei Jahre lang, bevor er Code einfügte, der eine nicht authentifizierte Remote-Codeausführung auf Millionen von Linux-Servern ermöglicht hätte.
Dieses Tool bietet zwei Dinge:
Eine verbesserte Version des System-Checkers mit erweiterter CVE-Abdeckung und zusätzlichen Funktionen zur Schwachstellenbewertung ist im Ordner /CVE-Vulnerability-Assessment-Tool verfügbar.
Laden Sie xz-toolkit_Visual_Checker.html herunter und öffnen Sie es in einem beliebigen Browser. Keine Installation, kein Server, keine Internetverbindung erforderlich. Alles ist in einer einzigen Datei enthalten.
Registerkarte „Angriffs-Visualisierer" – Klicken Sie auf eine beliebige Phase im linken Bereich, um die Angriffszeitleiste Schritt für Schritt durchzugehen. Die Abhängigkeitskette aktualisiert sich und zeigt genau, wo sich der Angriffspfad in jeder Phase befindet. Die Phasen sind farbcodiert: Blau für Vorbereitung, Gelb für Warnsignale, Rot für Injektion, Grün für Entdeckung und Reaktion.
Registerkarte „System-Checker" – Führen Sie diese drei Befehle auf dem System aus, das Sie bewerten möchten:
xz --version
ldd /usr/sbin/sshd
systemctl is-active ssh
Fügen Sie die Ausgabe in die drei Felder ein und klicken Sie auf „System analysieren". Das Tool bewertet die fünf für die Ausnutzung erforderlichen Bedingungen und gibt eine Bewertung mit einer Aufschlüsselung pro Bedingung zurück. Klicken Sie auf „Abhängigkeitskette dieses Systems visualisieren", um Ihr tatsächliches Bibliotheksprofil im Kettendiagramm angezeigt zu bekommen.
Vollständig verwundbar – Debian Sid mit XZ 5.6.1
XZ-Version:
xz (XZ Utils) 5.6.1
liblzma 5.6.1
sshd-Abhängigkeiten:
libsystemd.so.0 => /lib/x86_64-linux-gnu/libsystemd.so.0
liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5
libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6
SSH-Status:
active (running) since Fri 2024-03-29 11:42:01 UTC
Erwartet: VERWUNDBAR – alle fünf Bedingungen erfüllt.
Nicht verwundbar – Ubuntu LTS mit XZ 5.4.6
XZ-Version:
xz (XZ Utils) 5.4.6
liblzma 5.4.6
sshd-Abhängigkeiten:
libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3
libpam.so.0 => /lib/x86_64-linux-gnu/libpam.so.0
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6
SSH-Status:
active (running) since Thu 2024-03-28 09:15:33 UTC
Erwartet: NICHT VERWUNDBAR – XZ-Version ist sicher, liblzma und libsystemd fehlen in sshd.
Nicht verwundbar – Arch Linux mit XZ 5.6.0 (architektonisch geschützt)
XZ-Version:
xz (XZ Utils) 5.6.0
liblzma 5.6.0
sshd-Abhängigkeiten:
libcrypto.so.3 => /usr/lib/libcrypto.so.3
libpam.so.0 => /usr/lib/libpam.so.0
libc.so.6 => /usr/lib/libc.so.6
SSH-Status:
active (running) since Sat 2024-03-30 08:22:11 UTC
Erwartet: NICHT VERWUNDBAR – XZ 5.6.0 ist die mit einer Backdoor versehene Version, aber das System ist nicht ausnutzbar, da Arch Linux den sd_notify-Patch nicht auf OpenSSH anwendet, sodass liblzma nie in sshd eingebunden wird. Die Schwachstelle war architekturspezifisch, nicht nur versionsspezifisch.
Alle fünf müssen gleichzeitig erfüllt sein, damit ein System verwundbar ist:
Ein zentrales Ergebnis des begleitenden Forschungsberichts ist, dass dieser Angriff ein neuartiges Bedrohungsmodell für Fachleute im Bereich Identity and Access Management darstellt. Die Backdoor stahl keine Anmeldedaten und umging keine Zugriffskontrollen im herkömmlichen Sinne – sie ersetzte den Authentifizierungsmechanismus selbst und arbeitete unterhalb von PAM, RBAC, MFA und Zero Trust. Keine herkömmliche IAM-Kontrolle hätte die Ausnutzung verhindert.
Kontrollen, die geholfen hätten: Freigabe durch mehrere Parteien bei Releases, Diff-Prüfung zwischen Tarball und Git-Repository, Integritätsüberwachung von Binärdateien zur Laufzeit (IMA/dm-verity) sowie Anomalieerkennung bei der Latenz der SSH-Authentifizierung.
Copyright (c) 2026 Nikolaos Natsopoulos. MIT-Lizenz.