当前位置: 网站首页 > 通知公告 > 正文
关于XZ-Utils供应链后门漏洞(CVE-2024-3094)的预警提示
阅读次数:     发布时间:2024-04-07

一、漏洞详情

XZ-Utils是Linux/Unix系统中用于处理.xz和.lzma文件的命令行压缩工具,集成了liblzma等组件。

近日,检测到在xz-utils软件包5.6.0到5.6.1版本中,存在供应链攻击及植入后门风险。微软PostgreSQL开发人员在调查SSH性能问题时,在xz软件包中发现了一个涉及混淆恶意代码的供应链攻击。恶意代码修改了liblzma代码中的函数,该代码是XZ Utils软件包的一部分。由于SSH底层依赖了liblzma等组件,攻击者可能利用这一漏洞破坏sshd认证,并远程获取对整个系统的未授权访问。

建议受影响用户做好资产自查以及预防工作,以免遭受黑客攻击。

二、影响范围

XZ Utils == 5.6.0

XZ Utils == 5.6.1

三、修复建议

如果确认受影响,可将XZ Utils降级到未受影响的版本,如XZ Utils 5.4.6 Stable。