CVE-2024-3094
Xz: codice malevolo nel sorgente distribuito
- Pubblicato
- 29 mar 2024
- Aggiornato
- 4 ago 2026
- Assegnazione CNA
- redhat
- Evidenza osservata
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HAlto · prossimi 30 giorni
- Percentile
- 99,8%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
È stato scoperto codice dannoso nei tarball upstream di xz, a partire dalla versione 5.6.0. Attraverso una serie di complesse offuscazioni, il processo di build di liblzma estrae un file oggetto precompilato da un file di test camuffato presente nel codice sorgente, che viene poi utilizzato per modificare funzioni specifiche nel codice di liblzma. Il risultato è una libreria liblzma modificata che può essere utilizzata da qualsiasi software collegato a questa libreria, intercettando e modificando l'interazione dei dati con questa libreria.
Fonti
- xz-cve-2024-3094Ricerca
XZ Backdoor Extract(Test su Ubuntu 23.10)
- xzbotExploit
appunti, honeypot e demo di exploit per il backdoor xz (CVE-2024-3094)
- CVE-2024-3094Rilevamento
Script shell per rilevare se il binario ssh è probabilmente vulnerabile a CVE-2024-3094, senza richiedere hexdump.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.