XZ實用程式後門

2024年3月29日，軟體開發者Andres Freund報告稱，liblzma庫在2024年2月發布的5.6.0和5.6.1版本中，包含的Linux實用程式xz含有一個惡意引入的後門^[1]。

XZ實用程式後門

之前由Jia Tan貢獻的XZ徽標
CVE識別碼	CVE-2024-3094
發現日期	2024年3月29日，​16個月前​（2024-03-29）
發現者	Andres Freund
受影響軟體	xz / liblzma 庫
網站	tukaani.org/xz-backdoor/

雖然大多數Linux發行版都安裝有xz，但後門僅針對基於Debian和RPM的x86-64架構系統^{[來源請求]}。在發現時，後門版本尚未被廣泛部署^[2]。

如果擁有特定的Ed448私鑰，攻擊者能夠使用此後門在受感染的Linux系統上執行遠端代碼。CVSS評分為10.0分，為最高分^[3][4][5]。

背景

微軟員工、PostgreSQL開發人員Andres Freund在對Debian Sid進行效能回歸測試時發現了該後門^[6]。Freund注意到SSH連接產生了超乎尋常的高CPU使用率，並且使主記憶體除錯工具Valgrind報錯^[7]。Freund將他的發現報告給了Openwall Project開源安全郵寄清單^[8]，引起了各大軟體供應商的注意^[7]。有證據表明，攻擊者將單次意圖拆解進多個階段^[9]，盡力混淆攻擊代碼^[10][11]。

一旦惡意版本被整合進作業系統，它就會藉助systemd庫篡改OpenSSH SSH伺服器，使攻擊者竊得等同於管理員的存取權限^[9][7]。據Red Hat分析，該後門可以「使惡意行為者能夠攻破sshd身分驗證，並獲得對整個系統的遠端未經授權的訪問」^[12]。

隨後的調查發現，在XZ實用程式專案中插入後門是一位暱稱JiaT75、名為「Jia Tan」的使用者在大約三年的時間內，取得該專案信任的結果。在操縱明顯是馬甲的帳號施加壓力後，創始人和首席維護者向「Jia Tan」移交了專案的控制權，作為聯合維護者的「Jia Tan」簽章發布了5.6.0版本引入後門，而5.6.1版本修復了作業系統軟體測試期間可能出現的一些異常行為^[7]。疑似傀儡帳號包括「Jigar Kumar」、「krygorin4545」和「misoeater91」。有人懷疑「Jia Tan」這個名字以及所謂的代碼作者「Hans Jensen」（針對版本5.6.0和5.6.1）只是該活動參與者編造的假名。除了在該活動的短短幾年外，兩個帳號在軟體開發領域都沒有可見的公開活動^[13]。該後門因其複雜程度，及犯罪者在努力獲得信任地位的同時展現的長期高水平行動安全而引人注目。美國安全研究員戴夫·艾特爾（Dave Aitel）認為，該攻擊符合APT29的攻擊模式。APT29是一個進階長期威脅執行機構，據信為俄羅斯SVR工作^[14]。

機制

據了解，惡意代碼存在於XZ實用程式版本5.6.0和5.6.1中。漏洞將一直處於潛伏狀態，直到SSH伺服器打上了特定的第三方修補程式。在適當的情況下，惡意行為者可破壞sshd身分驗證過程，並遠端取得對整個系統的未經授權的訪問^[12]。該惡意機制由包含惡意二進制代碼的兩個測試壓縮檔案組成。這些檔案儲存在git儲存庫中，但除非提取並注入到程式中，否則將保持休眠狀態^[5]。該代碼使用glibc IFUNC機制，將OpenSSH中名為RSA_public_decrypt的函式替換為惡意版本。OpenSSH通常不會載入liblzma，但多個Linux發行版常使用的第三方修補程式會使其載入libsystemd，進而載入lzma^[5]。GitHub上上傳的發行tar檔案中包含了build-to-host.m4的修改版本，該檔案會釋放對liblzma進行實際注入的指令碼。這個修改過的m4檔案並不存在於git儲存庫中，它只能從維護者獨立於git發布的tar檔案中取得^[5]。似乎只有在x86-64 Linux系統、使用glibc和GCC、通過dpkg或rpm編譯軟體套件時，該指令碼才會執行注入^[5]。

反應

補救措施

負責網路安全和基礎設施的美國聯邦機構CISA發布了一份安全公告，建議受影響的裝置轉返至未受感染的版本^[15]。Red Hat、SUSE和Debian等Linux軟體供應商複製了CISA的公告，並撤回了受影響的軟體更新^[12][16][17]。GitHub已禁用了xz儲存庫的鏡像^[18]。

大眾回應

電腦科學家Alex Stamos認為，「這可能是有史以來植入軟體產品中最廣泛、最有效的後門」，並指出，如果該後門未被發現，它將「為其建立者提供全球數億台執行 SSH 電腦的萬能鑰匙」^[19]。此外，該事件還引發了一場關於讓關鍵網路基礎設施依賴無償志願者的可行性的討論^[20]。