【事件描述修正】XZ Utilѕ 工具库恶意后门植入漏洞(CVE-2024-3094)安全风险通告

使用了受影响版本XZ的操作系统或软件如openSUSE、Fedora 41、Liblzma、Debian非稳定的测试版 5.5.1alpha-0.1 到 5.6.1-1

详情可在此查询：

https://repology.org/project/xz/versions

目前 GitHub 已经关停了整个xz项目。

可据此查看受影响的开源操作系统 https://repology.org/project/xz/versions

自查脚本：

#! /bin/bashset -eu# find path to liblzma used by sshdpath="$(ldd $(which sshd) | grep liblzma | grep -o '/[^ ]*')"# does it even exist?if [ "$path" == "" ]then  echo probably not vulnerable  exitfi# check for function signatureif hexdump -ve '1/1 "%.2x"' "$path" | grep -q f30f1efa554889f54c89ce5389fb81e7000000804883ec28488954241848894c2410then  echo probably vulnerableelse  echo probably not vulnerablefi

也可通过如下命令查看系统本地是否安装了受影响的XZ：

$ xz --version

xz (XZ Utils) 5.6.1

iblzma 5.6.1

目前官方尚无最新版本，需对软件版本进行降级5.4.X，请关注官方新版本发布并及时更新。

Fedora Linux 40 用户需 xz 回退到 5.4.x 版本可参考：

https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users

https://bodhi.fedoraproject.org/updates/FEDORA-2024-d02c7bb266

奇安信技术研究院[“天问”软件供应链安全监测平台]

(https://tianwen.qianxin.com/)利用积累的海量软件空间测绘数据，发现开源生态中的若干软件存在使用后门组件的情况，其他系统、软件和固件上暂未发现直接使用后门组件的情况。

具体地，我们的测绘分析发现crates.io中的liblzma-sys包使用了受后门影响的版本。对于其他软件以及固件，由于含有后门的两个版本的发布时间在2024年2月24日之后，目前尚未被多数软件使用，因此对现有软件的影响有限。但是，由于实际使用中历史版本的xz组件有可能升级到后门版本从而产生影响，因此，我们对xz组件的历史版本影响情况进行了全面测绘分析，以便相关人员和组织排查可能的风险，尽管这些版本没有受后门影响。

详情请见：https://mp.weixin.qq.com/s/RqK0Ps-AZeCzy_uCXzRQ1Q

2024年3月31日，奇安信 CERT发布安全风险通告。