CS50 사이버보안 입문 – 기말 프로젝트

사례 연구: XZ Utils 백도어 (CVE-2024-3094)

이 저장소는 XZ Utils 백도어에 대한 7~10분 분량의 프레젠테이션을 지원합니다. 백도어 개요, 릴리스 타르볼을 통한 백도어 메커니즘, 관련 공급망 완화 조치를 포함합니다.

자료

• 슬라이드(PDF): A Near-Miss in the Supply Chain: The XZ Utils Backdoor (CVE-2024-3094).pdf
• 참고 자료: ./References.md
• 동영상(비공개): youtube-link

핵심 요점

• Tarball ≠ Git: CI에서 아티팩트–태그 일치성을 강제하고, 불일치가 발생하면 실패 처리하세요.
• 공급망 강화: 증명(in-toto), SBOM, SLSA ≥ L3, 2인 검토.
• 탐지 및 복구: sshd의 비정상 동작/심볼 인터포지션을 모니터링하고, 테스트된 롤백 플레이북을 유지하세요.

사고 개요

• CVE: CVE-2024-3094
• 시기: 2024년 3월~4월
• 영향 초점: 간접 의존성 체인(예: sshd → libsystemd → liblzma)을 통한 SSH 인증 위험

감사의 말

Andres Freund, 본 파일은 이 문제를 발견하고 해결한 모든 배포판 관계자들에게 감사를 표합니다.

---

발표자: Gianluca Milani,edX: Gianluca25,GitHub: M1lo25
녹화 날짜: 16/10/2025