CVE-2024-3094-情報

• CVE-2024-3094 PoC 探索 https://github.com/amlweems/xzbot

• https://github.com/lockness-Ko/xz-vulnerable-honeypot

• https://tukaani.org/xz-backdoor/ - Lasse Collin の応答

• https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

• https://www.thestack.technology/xz-utils-github-repository-disabled-as-linux-maintainers-assess-blast-radius-of-backdoor-earlier-commits/

• https://www.reddit.com/r/linux/comments/1brhlur/xz_utils_backdoor/

• https://gist.github.com/smx-smx/a6112d54777845d389bd7126d6e9f504

CVE-2024-3094 に関する情報

Red Hat は本日、XZ に関して Fedora 41 および Fedora Rawhide ユーザーに対して「緊急セキュリティ警告」を発行しました。そうです、この圧縮形式の XZ ツールとライブラリです。XZ 5.6.0/5.6.1 に悪意のあるコードが追加され、リモートからシステムへの不正アクセスを可能にする可能性があります。

Red Hat は、悪意のあるコードがコードベースに混入したことによるこの XZ のセキュリティ脆弱性について、CVE-2024-3094 を引用しています。CVE-2024-3094 はまだ公開されていないようですが、Red Hat のセキュリティ警告では次のようにまとめられています： 「xz バージョン 5.6.0 および 5.6.1 のライブラリに含まれる悪意のあるインジェクションは難読化されており、ダウンロードパッケージにのみ完全に含まれています。Git 配布には悪意のあるコードのビルドをトリガーする M4 マクロがありません。ビルド時のインジェクションのための第 2 段階の成果物は、悪意のある M4 マクロが存在する場合に備えて Git リポジトリに存在します。

その結果生じる悪意のあるビルドは、systemd を介して sshd の認証を妨害します。SSH はシステムへのリモート接続に一般的に使用されるプロトコルであり、sshd はアクセスを許可するサービスです。適切な状況下では、この妨害により悪意のある行為者が sshd の認証を突破し、リモートからシステム全体への不正アクセスを取得する可能性があります。」

• https://isc.sans.edu/podcastdetail/8918

バックドアのリバース解析

• https://bsky.app/profile/did:plc:x2nsupeeo52oznrmplwapppl/post/3kowjkx2njy2b