XZ Utilsへのバックドア混入:誰の仕業?影響を受けるディストロは?(CVE-2024-3094) | Codebook|Security News
Codebook|Security News > Articles > Threat Report > XZ Utilsへのバックドア混入:誰の仕業?影響を受けるディストロは?(CVE-2024-3094)

Threat Report

Silobreaker-CyberAlert

サプライチェーン攻撃

XZ Utilsへのバックドア混入:誰の仕業?影響を受けるディストロは?(CVE-2024-3094)

山口 Tacos

山口 Tacos

2024.04.01

XZ Utilsへのバックドア混入:誰の仕業?影響を受けるディストロは?(CVE-2024-3094)

(情報源:HelpnetSecurity.com – March 31

数多くのLinuxディストリビューションで利用される圧縮ユーティリティ「XZ Utils」の一部に、不正なリモートアクセスを可能にするための悪意あるコードが仕込まれていたことが、29日に発覚。CVE-2024-3094という識別子が割り当てられたこの問題について、これまでに以下のような内容が判明している。

脆弱性CVE-2024-3094の概要

CVE-2024-3094は、悪用によりsshd認証を破り、システム全体へ不正にリモートアクセスすることが可能になり得るものとされ、CVSSスコアは10.0。このソフトウェアサプライチェーンを脅かす問題は、XZ Utilsのバージョン5.6.0および5.6.1に影響を与えるものだという。

関連記事

Threat Report

Threat Report

Silobreaker-CyberAlert

サプライチェーン攻撃

ソフトウェアサプライチェーン攻撃とは何か | 米CISA/NISTの資料から(1/3)

山口 Tacos

山口 Tacos

2024.04.01

脆弱性発見の経緯

同脆弱性の発見者は、マイクロソフトのソフトウェアエンジニアであるAndres Freund氏。同氏はDebian sid(開発用の不安定版)でのテスト実施時、SSHログインになぜ大量のCPUパワーが使われ、なぜエラーがポップアップするのかを調べる中でXZパッケージを構成するデータ圧縮ライブラリ「liblzma」に問題があることを発見したという。テスト結果を基に同氏は「アップストリームのxzリポジトリとxz tarballsにバックドアが仕込まれている」と結論づけ、この問題をDebianやほかのLinuxディストリビーションに報告。その後Red HatやDebian、CISAが同問題に関してユーザーへ注意喚起し、メディアなどにも大きく取り上げられている。

CVE-2024-3094の発見が、sshd遅延の理由を調べようとした結果の偶然によるものだったことを受け、バックドアによりこのような問題が引き起こされなかったとしたらどれほどの期間見過ごされていただろう、と危惧する内容のX投稿>

関連記事

Threat Report

Threat Report

Silobreaker-CyberAlert

サプライチェーン攻撃

新たなXZバックドアスキャナーが登場、あらゆるLinuxバイナリでインプラントを検出

山口 Tacos

山口 Tacos

2024.04.01

バックドア込みのXZパッケージによる影響を受けるLinuxディストリビューション

※主要なLinuxディストリビューションの安定版には当該XZパッケージは含まれていない

Red Hat

Fedora Rawhide(Fedora Linuxの現行開発バージョン)とFedora Linux 40のベータ版にxzライブラリの脆弱なバージョンが含まれていることを、Red Hatが認めている。Red Hat Enterprise Linux(RHEL)はいずれのバージョンも影響を受けない。

OpenSUSE

ローリングリリースのopenSUSE TumbleweedとopenSUSE MicroOSの3月7日〜28日の期間のものに脆弱なバージョンのxzが含まれていたと、OpenSUSEのメンテナが述べている。SUSE Linux Enterpriseおよび/またはLeapには悪意あるコードは存在しないとされる。

Debian

安定版はいずれのバージョンも影響を受けていないとされるものの、テスト用の不安定版、実験用ディストロの一部には侵害されたxzパッケージが含まれており、ユーザーはxz-utilsパッケージのアップデートを推奨されている。

Kali Linux

3月26日〜29日の間にアップデートを実施したユーザーが影響を受けると、OffSecが認めている。

Arch Linux

一部の仮想マシンイメージ(20240301.218094、20240315.221711)、コンテナイメージ(2024年2月24日〜2024年3月28日に作成されたもの)、およびinstallation medium(2024.03.01)に脆弱なXZバージョンが含まれる。

このほか、Linux Mint、Gentoo Linux、Amazon Linux、Alpine Linuxは影響を受けないとされる。また、自らのシステムがliblzmaライブラリのバックドア入りバージョンを使っているかチェックするためのスクリプトがGitHub上で共有されている。

バックドア混入は数年かけて信頼を獲得した開発者「Jia Tan」の仕業か

.xzファイルの圧縮・解凍用コマンドラインツールであるXZ UtilsはLasse Collin氏により作成され、今も主導者は同氏。しかしバックドアの混入は、「Jia Tan」(GitHubのユーザー名は「JiaT75」)によって行われたとされている。Jia Taは数年にわたりソックパペットアカウントを使ったり、ソーシャルエンジニアリングで信頼を構築したりしてXZ Utilsのメンテナとなり、バックドアの存在を隠すためにほかにもさまざまな細工を施したものとみられる。

今回のサプライチェーン攻撃の背後にいる脅威アクターの正体は今後も暴かれない可能性がある。ただ、「Jia Tanの名の下で協調的に行われた長期的な取り組みは、高度な脅威アクターのそれを指し示している」との見解が、サイバーセキュリティ業界やOSSコミュニティでは一般的だという。

関連記事

Threat Report

Threat Report

Silobreaker-CyberAlert

サプライチェーン攻撃

​サプライチェーンリスクとは 直近の国内事例から考える

山口 Tacos

山口 Tacos

2024.04.01

Special Feature特集記事

Cyber Intelligenceサイバーインテリジェンス

Security情報セキュリティ