🚨 CVE-2024-3094 — XZ 工具后门

---

🧠 概述

CVE-2024-3094 是一起严重影响广泛使用的 XZ Utils 压缩库的供应链投毒事件。

恶意行为者在上游版本中植入了隐秘后门，通过被篡改的 liblzma 实现远程代码执行 (RCE)。

⚠️ 该漏洞被认为是迄今为止最复杂的开源供应链攻击之一。

🎯 受影响版本

✔️ 常见受影响系统：

• Debian testing/unstable
• Fedora Rawhide
• 部分滚动更新发行版

⚙️ 技术细节

• 恶意载荷在构建过程中被嵌入
• 通过 liblzma 针对 sshd
• 利用动态链接行为
• 在特定条件下激活以逃避检测

🔬 攻击链

XZ Source → Build System Injection → liblzma Compromise → SSH Hook → RCE

🧪 入侵指标 (IoCs)

• sshd 出现异常的 CPU 峰值
• 被修改的 liblzma 二进制文件
• XZ 源码树中存在可疑构建产物

🔍 检测

检查已安装版本

xz --version

检查链接库

ldd $(which sshd) | grep lzma

🛡️ 缓解措施

立即措施

# 降级至安全版本
sudo apt install xz-utils=5.4.5

或：

sudo dnf downgrade xz

建议

• 从可信来源重新安装
• 验证软件包签名
• 审计系统日志以发现异常

🔐 修复状态

📚 参考

• 官方安全公告
• 安全研究博客
• 发行版安全通知

⚠️ 免责声明

本仓库仅供教育和意识提升使用。 请勿将此信息用于未经授权的活动。

⭐ 致谢

衷心感谢发现并在大规模利用之前披露此攻击的安全研究人员。