CVE-2024-3094 백도어 악성코드 발견 in XZ Utils Library

CVE-2024-3094는 XZ-Utils 소프트웨어 패키지에 영향을 미치는 보안 취약점입니다. 이 패키지는 주로 Linux 및 Unix 시스템에서 .xz 및 .lzma 확장자를 가진 파일을 처리하는 데 사용됩니다. 자세한 내용은 다음과 같습니다:

설명: XZ-Utils의 상류 tarball에서 악성 코드가 발견되었습니다. 5.6.0 버전부터 시작됩니다. 복잡한 난독화 과정을 통해 liblzma 빌드 프로세스는 소스 코드에 존재하는 위장된 테스트 파일에서 미리 빌드된 객체 파일을 추출합니다. 이 수정된 객체 파일은 liblzma 코드 내의 특정 함수를 변경하는 데 사용됩니다. 결과적으로, 수정된 liblzma 라이브러리는 이에 연결된 모든 소프트웨어에서 사용될 수 있으며, 이 라이브러리와의 데이터 상호 작용을 가로채고 수정할 수 있습니다.

심각도:

- CVSS 3.x 점수: 10.0 (매우 심각)

- 벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

- 참고: NVD 분석가들은 이 CVE에 대한 CVSS 점수를 아직 게시하지 않았습니다

영향:

이에 따라 Fedora Linux 40 사용자는 5.4 빌드로 다운그레이드할 것이 권장됩니다.
이번 공급망 공격의 영향을 받는 다른 리눅스 배포판 중 일부는 다음과 같습니다.

- Kali Linux(3월 26일에서 29일 사이)
- openSUSE Tumbleweed 및 openSUSE MicroOS(3월 7일에서 28일 사이)
- Debian testing, unstable, and experimental 버전(5.5.1alpha-0.1에서 5.6.1-1 버전까지)

이 취약점은 특정 운영 체제 환경에서 liblzma를 통해 OpenSSH에 보안 문제를 도입하려고 시도합니다.

본질적으로 이 공급망 침해는 sshd 인증을 방해하여 공격자가 시스템에 무단으로 접근할 수 있도록 할 수 있습니다. 더 자세한 정보는 Red Hat 공지 또는 NVD 항목을 참조하시기 바랍니다. 주의를 기울이시고 시스템을 업데이트하여 이 위험을 완화하십시오.

​시스템이 CVE-2024-3094에 영향을 받았는지 확인하려면 다음 단계를 따르십시오:

1. 패키지 버전 확인: 시스템에서 사용하는 XZ-Utils 패키지의 버전을 확인합니다. 터미널에서 다음 명령을 실행하여 버전을 확인할 수 있습니다:

xz --version

만약 버전이 5.6.0 이상이라면 주의해야 합니다.

2. 보안 업데이트 확인: 시스템 패키지 관리자를 통해 XZ-Utils 패키지가 최신 버전으로 업데이트되었는지 확인하십시오. 보안 업데이트가 제공되는 경우 해당 패키지를 업데이트하십시오.

3. 로그 및 감사 기록 검토: 시스템 로그 및 감사 기록을 검토하여 이상한 활동이나 알 수 없는 접근 시도를 확인하십시오. 특히 SSH 로그를 주시하십시오.

4. 취약점 스캐너 사용: 취약점 스캐너 도구를 사용하여 시스템에서 CVE-2024-3094와 관련된 취약점을 스캔하십시오.

5. 시스템 보안 강화: SSH 설정을 검토하고 보안 강화를 적용하십시오. 예를 들어, 비밀번호 인증을 비활성화하고 키 기반 인증을 사용하십시오.

위의 단계를 따라 시스템을 보호하고 취약점을 해결하십시오. 필요한 경우 시스템 관리자나 보안 전문가와 상의하십시오.

​참고:

- nvd.nist.gov https://nvd.nist.gov/vuln/detail/CVE-2024-3094

- access.redhat.com https://access.redhat.com/security/cve/CVE-2024-3094

- bugzilla.redhat.com https://bugzilla.redhat.com/show_bug.cgi?id=2272210

- redhat.com https://www.redhat.com/ko/topics/security/what-is-cve

- cve.mitre.org https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-3094

이번 사태로 미국의 보안전담기관인 CISA는 사용자에게 XZ Utils를 손상되지 않은 버전(예: XZ Utils 5.4.6 Stable)으로 다운그레이드 할 것을 촉구하는 경고를 발령했습니다.

*** 이례적으로 업데이트가 아닌 다운그레이드라니.. CVSS 10.0에 다가 Target이 Global해서 영향 내에서는 Log4j처럼 큰 이슈가 될 수 있겠네요