mrbuglf/xz-utils_cve-2024-3094XZ-Utilsツールキットの悪意あるバックドア埋め込み脆弱性(CVE-2024-3094)
XZはデータ圧縮形式であり、ほぼすべてのLinuxディストリビューションに存在しています。liblzmaはXZ圧縮形式を処理するオープンソースソフトウェアライブラリです。3月29日、開発者はXZパッケージへのサプライチェーン攻撃を発見し、調査の結果、SSH上流のliblzmaライブラリにバックドアトロイの木馬が仕込まれていたことが判明しました。特定の条件を満たすと、トラフィック内のC2コマンドを復号して実行します。
| OS | パッケージ名 | パッケージバージョン | 修正パッケージバージョン | 参照 |
|---|
| Fedora 40, Rawhide | xz | 5.6.0, 5.6.1 | 5.4.x に戻す | 詳細 |
| Debian unstable (Sid) | xz-utils | 5.6.1 | 5.4.5 に戻す | 詳細 |
| Alpine edge | xz | 5.6.1-r2 | 5.4.x に戻す | 詳細 |
| Arch Linux | xz | 5.6.0-1, 5.6.1-1 | 5.6.1-2 にアップグレード | 詳細 |
| openSUSE Tumbleweed openSUSE MicroOS | xz | 5.6.0 | 5.4.x に戻す | 詳細 |
現在、最新バージョンはまだないため、XZバージョンを5.4.xにダウングレードする必要があります。
