仅限会员阅读的故事
严重的 xz Utils 漏洞（CVE-2024–3094）：影响与解决方案
Cloud Hacks 发布
9 分钟阅读 · 2024 年 3 月 31 日
312
（图片占位符：点击或按回车查看完整图片）
上周五，当我在 X 平台上从一位我非常喜欢的安全研究员那里得知这个漏洞时，我当时就想到，考虑到 xz utils 库在现代 Linux 发行版中的普遍性，这次的影响范围将会非常巨大。压缩是一种广泛应用于各种应用程序功能的技术，而开源压缩软件 xz 被大量使用。该漏洞被标记为 CVE-2024–3094，这一严重漏洞可能允许攻击者在运行受影响版本 xz 的服务器、工作站和设备上远程执行代码。
该漏洞由插入到 xz utils 库中的恶意代码引起，由于 xz 在 Linux 发行版、云计算平台、物联网设备等中的广泛使用，其影响极为深远。作为云安全专业人士，必须了解此漏洞的细节，并立即采取措施降低云基础设施和软件供应链中的风险。该漏洞最初于 2 月被发现，受影响的 xz utils 版本为 5.6.0 和 5.6.1。
漏洞是由一位名为 Andres Freund 的安全研究员在调查系统异常时发现的，当时他在 SSH（安全外壳）协议中发现了一个问题。最初引起他注意的是观察到 SSH 登录尝试失败的现象… CSD0tFqvECLokhw9aBeRqoxRH8OSIPR4m1HifErMBg/MHuCaxzisoSMqa3OBAfgYkPsNDWgOEV/w2uuzXC4LopX24vG0jNq8ChFmCRicqtePMJVnWDIplBIU/fqrGYYY0tY+doAx4NFVaLoqIMoyUw==
