Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

ライブラリ「XZ Utils」の一部バージョンに悪意あるコード

XZ形式データの圧縮や解凍を行うライブラリ「XZ Utils」の一部に悪意あるコードが埋め込まれたことがわかった。同ライブラリはLinuxディストリビューションで広く利用されており、新機能を試すテスト板やベータ版などに侵害されたパッケージが混入していた。

2024年2月以降にリリースされた「同5.6.0」「同5.6.1」の「tarball」に悪意あるコードを埋め込まれていることが判明したもの。パッケージ内の不正なコードが埋め込まれた「liblzma」によってsshのログイン速度が低下し、特定環境ではsshd経由でリモートから侵入することが可能となるおそれがある。悪意あるコードが混入した詳しい経緯はわかっていない。

同問題には「CVE-2024-3094」が割り当てられており、共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値となる「10.0」、重要度は「クリティカル(Critical)」とレーティングされている。

Red Hatは「Fedora Linux 40」のベータ版において問題が確認されたとし、「XZ Utils 5.4.x」へダウングレードするよう求めた。また「Fedora Rawhide」についても影響を受けるバージョンを受け取っているおそれがある。「Red Hat Enterprise Linux」への影響については否定した。

またopenSUSEは、新機能などがテストされるローリングリリースの「openSUSE Tumbleweed」や「openSUSE MicroOS」において、3月7日から3月28日まで、問題のパッケージが含まれていたと説明。「Debian」のテスト版などが影響を受けたほか、「Kali」においても3月26日から3月29日にかけてインストールした場合は影響があり、更新の必要があるとアナウンスしている。

同問題を受け、米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)では侵害されていない「同5.4.6 Stable」などへダウングレードするよう注意喚起を行った。悪意のある活動がないか調査し、見つかった場合は報告するよう呼びかけている。

(Security NEXT - 2024/04/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

「PHP」に複数の脆弱性 - セキュリティアップデートで修正
AIシステムの安全な実装運用に向けたガイダンスを公開 - 米政府ら
検索用目録と誤って個人情報含むファイルを誤公開 - 新潟県
印刷に利用した患者情報含む私物USBメモリが所在不明に - 愛知県
「GitLab」にセキュリティアップデート - 脆弱性4件を解消
メールサーバがフィッシングメールの踏み台に - 広済堂HD子会社
従業員が退職時に顧客情報を持出、転職先で使用 - プルデンシャル生命
「PAN-OS」のアップデートが公開 - 旧版にも順次提供予定
「XenServer」「Citrix Hypervisor」に脆弱性 - 情報流出やDoS攻撃のおそれ
先週注目された記事(2024年4月7日〜2024年4月13日)