Lieferkettenangriff · Weltweit · März 2024

XZ Utils-Hintertür (CVE-2024-3094)

Eine gezielt eingeschleuste Hintertür in der XZ-Komprimierungsbibliothek wurde entdeckt, bevor sie die meisten stabilen Linux-Versionen erreichte.

Sicherheitsvorfall

Was geschehen ist

Nach langwierigen Bemühungen, das Vertrauen der Maintainer zu gewinnen, wurde Schadcode in die Release-Tarballs von XZ Utils in den Versionen 5.6.0 und 5.6.1 eingeschleust.

Die Hintertür zielte auf die SSH-Authentifizierung bestimmter Linux-Distributionen ab.

Ein Ingenieur bemerkte ein ungewöhnliches Leistungsverhalten, was zur Entdeckung und zum schnellen Zurücksetzen der Änderungen führte.

Analyse

Gewonnene Erkenntnisse

Lieferketten für Open-Source-Software hängen von einer kleinen Anzahl von Maintainern ab.

Release-Artefakte sollten anhand der Quellcode-Repositories überprüft werden.

Anomalieerkennung und Neugier bleiben wirksame Schutzmechanismen.

Prävention

Wie Penetrationstests helfen

Cloud- und Infrastrukturprüfungen untersuchen Build-Pipelines, Paketquellen und die Härtung exponierter Dienste wie SSH.

Zugehörige Dienstleistung ansehen Bewertung anfordern

Quellen

NVD, CVE-2024-3094

Zusammenfassung auf Grundlage öffentlich verfügbarer Informationen. DIGITPOL war an diesem Vorfall nicht beteiligt.