CVE-2024-3094 技术分析：XZ Utils 供应链后门

视频演示：https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

描述：

对 CVE-2024-3094（CVSS 10.0 严重）的深入技术与架构剖析，这是 2024 年 3 月发现的历史性开源供应链后门，被植入 xz-utils / liblzma（版本 5.6.0 和 5.6.1）中。

本演示作为哈佛大学 / edX 的 CS50 网络安全导论 课程的最终项目开发。

👤 项目元数据

学生姓名： Namegabe Mulokwa Victoire
edX 用户名： namegabevictoire01
GitHub 用户名： namegabevictoire01-sys
日期： 2026 年 9 月 15 日
课程： CS50 网络安全（最终项目）

📌 执行摘要

2024 年 3 月，在 xz-utils 中发现了一起严重的供应链攻击，这是一个被主要 Linux 发行版（Debian、Fedora、Ubuntu、Arch、RHEL）广泛使用的基础压缩工具。该后门被赋予最高漏洞评分 CVSS 10.0，它在编译期间针对 liblzma.so 进行攻击，以劫持 OpenSSH（sshd）进程，从而允许以完整的 root 权限进行未经授权的远程代码执行（RCE）。

本项目从五个关键维度考察该漏洞的完整生命周期：

范围与影响： liblzma 的全球足迹与核心系统安全概念。
社会工程： 威胁行为者“Jia Tan”为期两年的多重身份渗透行动。
技术机制： 混淆的测试文件、构建时 m4 执行以及 GNU IFUNC 符号劫持。
检测与载荷执行： 加密签名验证（ED448）与 Andres Freund 的异常发现。
系统性缓解： 多维护者治理、可复现构建与权限解耦。

🛠️ 关键技术发现

社会工程 / 人员渗透： 威胁行为者通过 24 个月的真实贡献建立信任，随后利用协同的傀儡账号向唯一维护者施压，最终获得管理提交和发布签名权限。
构建时混淆： 恶意二进制对象被隐藏在伪装的测试归档文件（bad-3-corrupt_lzma2.xz）中。注入的 build-to-host.m4 宏在二进制生成期间提取并链接载荷之前，会验证环境条件（x86_64 Linux 目标打包）。
通过 GNU IFUNC 拦截 OpenSSH： 在启用 systemd 的 Linux 发行版上，systemd 将 OpenSSH 与 liblzma 链接。该后门利用 GNU 间接函数（IFUNC）在动态符号解析期间挂钩内存，替换 RSA_public_decrypt。
隐蔽远程执行： 被挂钩的函数将传入的 SSH 载荷与硬编码的 ED448 密钥进行比对。有效签名会触发即时 root 执行，且不会在系统日志（syslog）中留下痕迹，而不匹配的尝试则会无缝传递至标准身份验证。

📂 仓库与项目结构

.
├── presentation_slides/     # 高分辨率 16:9 演示幻灯片（PNG）
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # AI 配音转录与时间脚本
│   └── narration_script.txt
├── README.md                # 项目文档与摘要
└── project_details.txt      # 课程提交元数据

cs50-cybersecurity-final-project

最受欢迎