XZ-Utils 5.6.0-5.6.1版本存在后门风险 (CVE-2024-3094)

漏洞类型 隐藏功能 发现时间 2024-03-30 漏洞等级 严重
MPS编号 MPS-03mz-nh7f CVE编号 CVE-2024-3094 漏洞影响广度

漏洞危害

OSCS 描述
XZ-Utils是Linux、Unix等POSIX兼容系统中广泛用于处理.xz文件的套件,包含liblzma、xz等组件,已集成在Debian、Ubuntu、CentOS等发行版仓库中。
开发者JiaT75在其GitHub仓库中发布的5.6.0和5.6.1版本(github.com/tukaani-project/xz/releases/)加入了后门逻辑,使得构建的liblzma包含额外的耗时计算逻辑。
systemd依赖liblzma,导致sshd等依赖于systemd的应用程序也受到影响,sshd服务启动速度变慢,存在未授权访问风险。
存在后门版本的xz-utils官方发布于2024年2月24日,被Debian unstable分支、Fedora Rawhide、Fedora 40、Arch Linux等少数仓库集成,暂未被大规模应用,CentOS/Redhat/Ubuntu/Debian/Fedora等stable仓库不受影响。
参考链接:https://www.oscs1024.com/hd/MPS-03mz-nh7f

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
xz-utils [5.6.0, 5.6.1] 降级 将xz-utils降级至5.6.0以前版本或在应用中替换为7zip等组件
参考链接:https://www.oscs1024.com/hd/MPS-03mz-nh7f

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-03mz-nh7f

https://www.openwall.com/lists/oss-security/2024/03/29/4

https://nvd.nist.gov/vuln/detail/CVE-2024-3094

https://salsa.debian.org/debian/xz-utils/-/blob/debian/unstable/m4/build-to-host.m4?ref_type=heads#L63

https://github.com/tukaani-project/xz/releases

https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users

(0)
上一篇 2024年3月28日 下午12:00
下一篇 2024年3月30日 下午12:00

相关推荐

  • Mlflow Jinja2 模版注入漏洞 (CVE-2023-6940)

    漏洞类型 命令注入 发现时间 2023-12-20 漏洞等级 严重 MPS编号 MPS-qdjk-tr3g CVE编号 CVE-2023-6940 漏洞影响广度 漏洞危害 OSCS 描述 MLflow 是用于机器学习全生命周期管理的开源工具。 MLflow受影响版本中存在模版注入漏洞。在render_and_merge_yaml方法中,该函数用于渲染和合并基…

    2023年12月21日
    0
  • GitLab workspace 任意文件写入漏洞 (CVE-2024-0402)

    漏洞类型 相对路径遍历 发现时间 2024-01-26 漏洞等级 严重 MPS编号 MPS-ao1v-ghp4 CVE编号 CVE-2024-0402 漏洞影响广度 广 漏洞危害 OSCS 描述 GitLab 是基于Git的集成软件开发平台,workspace 是 GitLab 中用于运行隔离开发环境的虚拟沙箱。 GitLab 受影响版本中在用户创建 wor…

    2024年1月27日
    0
  • PaddlePaddle < 2.6.0 存在命令注入漏洞 (CVE-2024-0521)

    漏洞类型 代码注入 发现时间 2024-01-21 漏洞等级 严重 MPS编号 MPS-g8j9-m4lq CVE编号 CVE-2024-0521 漏洞影响广度 一般 漏洞危害 OSCS 描述 PaddlePaddle(飞桨)是百度研发的深度学习平台,提供了_wget_download函数通过wget进行文件下载。 PaddlePaddle 2.6.0之前版…

    2024年1月24日
    0
  • Apache bRPC 存在http请求走私风险 (CVE-2024-23452)

    漏洞类型 HTTP请求走私 发现时间 2024-02-08 漏洞等级 中危 MPS编号 MPS-2glc-5ao0 CVE编号 CVE-2024-23452 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache bRPC 是百度开源的工业级 RPC 框架,常用于搜索、存储、机器学习等高性能系统。 Apache bRPC 0.9.5至1.7.0版本中由于…

    2024年2月9日
    0
  • Apache Johnzon 拒绝服务漏洞 (CVE-2023-33008)

    漏洞类型 ReDoS 发现时间 2023/7/7 漏洞等级 中危 MPS编号 MPS-2zow-5vi7 CVE编号 CVE-2023-33008 漏洞影响广度 极小 漏洞危害 OSCS 描述 Apache Johnzon 是用于解析和创建 JSONP 的 Java 库。在 Apache Johnzon 受影响版本中,由于BigDecimal#toBigIn…

    2023年8月30日
    0