CVE-2024-3094の技術分析: XZ Utils サプライチェーンバックドア

動画デモ: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

説明:

2024年3月に発見された、xz-utils / liblzma(バージョン5.6.0および5.6.1)に埋め込まれた歴史的なオープンソースサプライチェーンバックドア CVE-2024-3094(CVSS 10.0 緊急)に関する、詳細な技術的・アーキテクチャ的分解分析です。

このプレゼンテーションは、ハーバード大学 / edX による CS50's Introduction to Cybersecurity の最終プロジェクトとして作成されました。

👤 プロジェクトメタデータ

学生名: Namegabe Mulokwa Victoire
edX ユーザー名: namegabevictoire01
GitHub ユーザー名: namegabevictoire01-sys
日付: 2026年9月15日
コース: CS50 Cybersecurity(最終プロジェクト)

📌 エグゼクティブサマリー

2024年3月、主要なLinuxディストリビューション(Debian、Fedora、Ubuntu、Arch、RHEL)で広く利用されている基本的な圧縮ユーティリティである xz-utils 内で、重大なサプライチェーン攻撃が発見されました。最大の脆弱性スコアである CVSS 10.0 が割り当てられたこのバックドアは、コンパイル時に liblzma.so を標的として OpenSSH(sshd)プロセスを乗っ取り、完全な root 権限での不正なリモートコード実行(RCE)を可能にしました。

本プロジェクトでは、この脆弱性のライフサイクル全体を5つの主要な側面から検証します:

範囲と影響: liblzma のグローバルな普及状況と中核となるシステムセキュリティの概念。
ソーシャルエンジニアリング: 脅威アクター「Jia Tan」による2年間にわたる複数ペルソナでの潜入キャンペーン。
技術的メカニズム: 難読化されたテストファイル、ビルド時の m4 実行、GNU IFUNC シンボルハイジャック。
検出とペイロード実行: 暗号署名検証(ED448)と Andres Freund による異常の発見。
システム的な緩和策: 複数メンテナーによるガバナンス、再現可能ビルド、特権の分離。

🛠️ 主要な技術的知見

ソーシャルエンジニアリング / 人的潜入: 脅威アクターは24か月かけて正当な貢献を通じて信頼を築いた後、協調したソックパペットアカウントを利用して唯一のメンテナーに圧力をかけ、最終的に管理者のコミット権限とリリース署名権限を獲得しました。
ビルド時の難読化: 悪意のあるバイナリオブジェクトは、偽装されたテストアーカイブ(bad-3-corrupt_lzma2.xz)内に隠されていました。注入された build-to-host.m4 マクロは、バイナリ生成時にペイロードを抽出してリンクする前に、環境条件(x86_64 Linux ターゲットのパッケージング)を検証しました。
GNU IFUNC による OpenSSH の傍受: systemd が有効な Linux ディストリビューションでは、systemd が OpenSSH を liblzma とリンクします。このバックドアは GNU Indirect Functions(IFUNC)を利用して動的シンボル解決中のメモリにフックし、RSA_public_decrypt を置き換えました。
隠密のリモート実行: フックされた関数は、受信した SSH ペイロードをハードコードされた ED448 鍵と照合して評価しました。有効な署名はシステムログ(syslog)に痕跡を残すことなく即座に root 実行をトリガーし、一致しない試行は標準認証へシームレスに通過しました。

📂 リポジトリとプロジェクト構成

.
├── presentation_slides/     # 高解像度 16:9 プレゼンテーションスライド (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # AI ナレーションの文字起こしとタイミングスクリプト
│   └── narration_script.txt
├── README.md                # プロジェクトのドキュメントと概要
└── project_details.txt      # コース提出用メタデータ

cs50-cybersecurity-final-project

人気