Linux圈『地震』：主流压缩工具XZ被曝后门，红帽、Debian等发公告要求紧急停用

Axel_K

Elite Member

加入日期: Sep 2006

您的住址: 人群中

文章: 4,205

Linux圈『地震』：主流压缩工具XZ被曝后门，红帽、Debian等发公告要求紧急停用

以下文字来自IT之家报道下的评论。

TLDR:

刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。

概括：

攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接 commit 代码的权利。
JiaT75 在最近几个月的一次 commit 中，悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据，然而在编译脚本（注1）中，在特定条件下会从这两个文件中读取内容对编译结果进行修改，致使编译结果和公开的源代码不一致。
目前初步的研究显示，注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数，致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。（具体细节还在分析中）
只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响，最直接的目标就是 sshd（注2），使得攻击者可以构造特定请求，绕过密钥验证远程访问。
受影响的 xz-utils 包已经被并入 Debian testing 中进行测试，攻击者同时也在尝试并入 fedora 和 ubuntu。
幸运的是，注入的代码似乎存在某种 Bug，导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员注意到了，顺藤摸瓜发现了这个阴谋并报告给 oss-security，致使此事败漏。
如果不是因为这个 Bug，那么这么后门有不低的概率被并入主流发行版的 stable 版本，恐怕会是一件前所未有的重大安全事件。

另外从一些细节能看出来攻击者非常用心：

攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入，以期望减少在测试期间被发现的时间。
xz-utils 项目的原维护者 Lasse Collin (Larhzu)，有着定期进行 internet breaks 的习惯，而且最近正在进行，导致这些变动他并没有 review 的机会，即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。
更多的细节还在被分析中，目前 GitHub 已经关停了整个 xz 项目。

注1：仓库中的构建脚本没有问题，但是随新版本发布的源代码打包（tarball）中的构建脚本中添加了对后门的利用。这导致直接使用源代码包的用户构建了带有后门的程序。

注2：据其他来源，受影响的 sshd 是 Debian 和 Ubuntu 等系统经过修改后支持 systemd notification 的版本。xz 是 systemd 的依赖，不是 sshd 的直接依赖。

https://twitter.com/Blankwonder/sta...921956615877110

2024-03-31, 10:07 AM #1

野口隆史

Elite Member

加入日期: Mar 2001

您的住址: Rivia

文章: 6,968

macos 的 homebrew 昨天是用降級 xz 的方式處理這個問題
約 15 年前，xz 開始作為各大發行版套件的預設壓縮格式
最近這幾年已經慢慢改為 zstd 了

__________________
Folding@home with GPGPU集中討論串

Unix Review: ArchLinux●Sabayon●OpenSolaris 2008.5●Ubuntu 8.10
AVs Review: GDTC●AntiVir SS●ESS●KIS 09●NIS 09●Norton 360 V3

I Always Get What I Want.

2024-03-31, 10:23 AM #2

anderson1127

Golden Member

加入日期: Jan 2002

文章: 3,993

我原先是用Fedora , 後來就慢慢改成CentOS , 昨天看到後就趕忙看一下xz的版本
還好,我是 5.2.x的版本 , 不是5.6 ....

__________________
您想買新硬碟嗎? 購買前請務必參考這篇文章,是我的實際經驗

還想讓統一賺你的錢嗎？統一集團成員(能見度高的)：
星巴克、家樂福、7-11、無印良品、黑貓宅急便、聖娜多堡、阪急百貨、
康是美、博客來、夢時代、Mister Donut 、Cold Stone 、龜甲萬、
維力33%股權、光泉31%股權、Smile速邁樂、紅心辣椒、台北轉運站(統一企業BOT)

統一LP33膠囊有環保署早已列管的一級管制品: DNOP塑化劑

2024-03-31, 11:03 AM #4

oversky.

Junior Member

加入日期: Feb 2013

文章: 718

引用:

作者sparc10

Everything I Know About the Xz Backdoor
https://boehs.org/node/everything-i...the-xz-backdoor

引用:

libarchive should also be considered compromised until proven otherwise.

這個 win 11 也有用。

https://technews.tw/2023/05/24/windows-11-rar/

引用:

微軟 Windows 11 作業系統終於加入 tar、7-zip、rar、gz 和其他使用 libarchive 開源專案的壓縮格式。

2024-03-31, 11:18 AM #5

blueck Major Member 加入日期: Dec 2010 文章: 254	看了一下沒有理解它怎麼做到有查到這個 https://www.stigviewer.com/stig/vmw...finding/V-39285 sshd compression 預設值是 delayed，也就是認證後才會啟用壓縮
2024-05-06, 11:11 PM #7