XZ-Utils工具库后门漏洞（CVE-2024-3094）通告
内容提要
绿盟科技CERT监测到XZ-Utils工具库存在后门漏洞，攻击者可绕过SSH认证获得未授权访问权限。建议用户降级至5.4或之前版本或替换为其他组件。
关键要点
-
绿盟科技CERT监测到XZ-Utils工具库存在后门漏洞（CVE-2024-3094），CVSS评分10。
-
攻击者可利用此漏洞绕过SSH认证获得未授权访问权限，执行任意系统命令。
-
XZ-Utils是处理.xz文件的工具库，广泛用于Linux和Unix系统。
-
后门漏洞由开发者JiaT75于2021年植入，2023年接管项目维护权限。
-
受影响版本为XZ Utils 5.6.0-6.1，建议用户降级至5.4或之前版本。
-
已知受影响的Linux发行版包括Fedora、MACOS HomeBrew、openSUSE、Kali Linux和Debian。
-
用户可通过命令检测XZ版本，或使用脚本检查系统是否被感染后门。
-
官方尚未发布修复公告，建议用户降级或替换为其他组件如7zip。
-
本安全公告不提供任何保证，使用者需自行承担后果。
延伸问答
XZ-Utils工具库的后门漏洞是什么？
XZ-Utils工具库存在后门漏洞（CVE-2024-3094），攻击者可绕过SSH认证获得未授权访问权限，执行任意系统命令。
受影响的XZ-Utils版本有哪些？
受影响的版本为XZ Utils 5.6.0至6.1，建议用户降级至5.4或之前版本。
如何检测系统是否受到XZ-Utils后门漏洞影响？
用户可以通过执行命令 'xz --version' 检查XZ版本，或使用提供的脚本检查系统是否被感染后门。
XZ-Utils后门漏洞的开发者是谁？
后门漏洞由开发者JiaT75于2021年植入，并于2023年接管项目维护权限。
有哪些Linux发行版受到XZ-Utils后门漏洞影响？
已知受影响的Linux发行版包括Fedora、MACOS HomeBrew、openSUSE、Kali Linux和Debian。
如何防护XZ-Utils后门漏洞？
建议用户将XZ-Utils降级至5.4或之前版本，或替换为其他组件如7zip。
