XZ Utils 后门发现

本文为事件概要整理。

2024 年 3 月 29 日,Microsoft 工程师 Andres Freund 公开披露 XZ Utils 中精心植入的后门 (CVE-2024-3094)。攻击者 Jia Tan 花费两年时间通过大量「正常」commit 逐步获取项目维护者信任,后在 liblzma 中加入会在 sshd 鉴权前执行的恶意代码,影响 SSH 私钥窃取。

影响

• 险些影响 Debian / Fedora / openSUSE / Alpine / Arch 等主流发行版
• 因 Andres Freund 在测试中观察到 SSH 登录延迟 0.3 秒才被发现
• 引发业界对关键开源项目维护链、信任链的大讨论

国内回响

• CNCERT/CC、CNVD、CNNVD 同步发布公告
• FreeBuf、安全客、安全牛等媒体深入解读供应链投献模式

参考资料

1. CNVD 关于 XZ Utils 后门的公告
2. CNCERT/CC 风险通报
3. FreeBuf:从 XZ Utils 看开源供应链投献
4. 阿里云安全:供应链攻击分析

转载与版权声明

本文为「点滴安全」基于多方公开资料整理的事件概要,所有原始版权归各发布机构所有。