时间线全记录 | Xzliblzma 被植入源码级后门
内容提要
微软公司的开发人员发现Xzliblzma软件包中存在供应链攻击，可能允许攻击者非授权访问系统。已知受影响的版本有XZ Utils 5.6.0和5.6.1。建议用户降级到5.4版XZ或更新到官方最新版5.6.4。攻击者潜伏了三年，只差一点就可以往多个Linux发行版的sshd注入后门。
延伸解读
攻击者的长期潜伏与信任获取
攻击者JiaT75于2021年注册GitHub账号，通过积极参与xz项目维护，逐渐获得信任并取得直接提交代码的权限。这种长期潜伏策略使其能够在不引起怀疑的情况下，逐步植入恶意代码。攻击者还精心选择时机，抢在Ubuntu beta freeze前几天尝试并入新版本，以减少测试期间被发现的风险。
恶意代码的注入与影响机制
恶意代码通过混淆手段隐藏在测试文件中，在构建过程中被提取并修改liblzma库。该库被systemd链接，而systemd又与OpenSSH守护进程通信，导致sshd认证可能被破坏。攻击者利用glibc的IFUNC Hook OpenSSH的RSA public decrypt函数，可能绕过RSA签名验证，使攻击者能够构造特定请求远程访问系统。
受影响范围与缓解措施
已知受影响的版本为XZ Utils 5.6.0和5.6.1，主要影响Fedora Rawhide、Fedora 41、Debian testing/unstable/experimental和Ubuntu 24.04 LTS。Red Hat将该漏洞命名为CVE-2024-3094，严重性评分为10分。建议用户降级到5.4版XZ或更新到5.6.4，并可通过提供的脚本检测系统是否受影响。
事件发现与潜在影响
后门代码存在一个Bug，导致特定情况下sshd的CPU占用飙升，被安全研究人员Andres Freund在调查SSH性能问题时发现。若非此Bug，后门很可能被并入主流发行版的稳定版本，造成前所未有的重大安全事件。目前GitHub已关停整个xz项目，更多细节仍在分析中。
Q&A
Xzliblzma的后门攻击是如何被发现的？
微软开发人员在调查SSH性能问题时发现了Xzliblzma软件包中的恶意代码，进一步溯源后确认了后门的存在。
哪些版本的XZ Utils受到影响？
受影响的版本包括XZ Utils 5.6.0和5.6.1，建议用户降级到5.4版或更新到5.6.4。
后门代码可能造成什么后果？
后门代码可能干扰OpenSSH守护进程，导致sshd认证被破坏，从而允许攻击者未经授权访问系统。
如何检测系统是否受到Xzliblzma后门的影响？
用户可以通过提供的脚本检测liblzma的路径和函数签名，以判断系统是否可能受到影响。
攻击者是如何在代码中植入恶意数据的？
攻击者通过在GitHub上注册并逐渐获得信任，最终在代码中悄悄加入了恶意数据，导致编译结果与公开源代码不一致。
CVE-2024-3094的严重性评分是多少？
CVE-2024-3094的严重性评分为10分，属于最高级别的安全漏洞。
