CS50 Intro to Cybersecurity – 最終プロジェクト

ケーススタディ: XZ Utils バックドア (CVE-2024-3094)

このリポジトリは、XZ Utils バックドアに関する7〜10分のプレゼンテーションをサポートするものです。バックドアの概要、リリース tarball を介したバックドアの仕組み、および関連するサプライチェーン軽減策を含みます。

資料

• スライド (PDF): A Near-Miss in the Supply Chain: The XZ Utils Backdoor (CVE-2024-3094).pdf
• 参考資料: ./References.md
• 動画 (限定公開): youtube-link

主要なポイント

• Tarball ≠ Git: CI でアーティファクトとタグの一致を強制し、不一致があれば失敗させる。
• サプライチェーンの強化: アテステーション (in-toto)、SBOM、SLSA ≥ L3、2名によるレビュー。
• 検出と復旧: sshd の異常な動作やシンボルインターセプションを監視し、テスト済みのロールバック手順書を保持する。

インシデント概要

• CVE: CVE-2024-3094
• 時期: 2024年3月〜4月
• 影響の焦点: 間接的な依存関係チェーン (例: sshd → libsystemd → liblzma) を介した SSH 認証へのリスク

謝辞

Andres Freund 氏、このファイルは本問題を発見・是正してくださったすべてのディストリビュータの皆様に謝意を表するものです。

---

発表者: Gianluca Milani、edX: Gianluca25、GitHub: M1lo25
収録日: 16/10/2025