ライブラリ「XZ Utils」の一部バージョンに悪意あるコード

XZ形式データの圧縮や解凍を行うライブラリ「XZ Utils」の一部に悪意あるコードが埋め込まれたことがわかった。同ライブラリはLinuxディストリビューションで広く利用されており、新機能を試すテスト板やベータ版などに侵害されたパッケージが混入していた。

2024年2月以降にリリースされた「同5.6.0」「同5.6.1」の「tarball」に悪意あるコードを埋め込まれていることが判明したもの。パッケージ内の不正なコードが埋め込まれた「liblzma」によってsshのログイン速度が低下し、特定環境ではsshd経由でリモートから侵入することが可能となるおそれがある。悪意あるコードが混入した詳しい経緯はわかっていない。

同問題には「CVE-2024-3094」が割り当てられており、共通脆弱性評価システム「CVSSv3.1」のベーススコアは最高値となる「10.0」、重要度は「クリティカル（Critical）」とレーティングされている。

Red Hatは「Fedora Linux 40」のベータ版において問題が確認されたとし、「XZ Utils 5.4.x」へダウングレードするよう求めた。また「Fedora Rawhide」についても影響を受けるバージョンを受け取っているおそれがある。「Red Hat Enterprise Linux」への影響については否定した。

またopenSUSEは、新機能などがテストされるローリングリリースの「openSUSE Tumbleweed」や「openSUSE MicroOS」において、3月7日から3月28日まで、問題のパッケージが含まれていたと説明。「Debian」のテスト版などが影響を受けたほか、「Kali」においても3月26日から3月29日にかけてインストールした場合は影響があり、更新の必要があるとアナウンスしている。

同問題を受け、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では侵害されていない「同5.4.6 Stable」などへダウングレードするよう注意喚起を行った。悪意のある活動がないか調査し、見つかった場合は報告するよう呼びかけている。

（Security NEXT - 2024/04/01 ）ツイート

ライブラリ「XZ Utils」の一部バージョンに悪意あるコード

関連リンク

PR

関連記事