XZ Utils供應鏈攻擊再傳災情，以Rust打造的程式庫liblzma也遭植入後門程式

兩週前微軟研究人員Andres Freund意外發現涉及SSH伺服器的供應鏈攻擊，並指出問題是在SSHD（Secure Shell Daemon）採用的資料壓縮程式庫XZ Utils，攻擊者對其中的LMZA壓縮演算法元件liblzma出手，在其程式碼埋入後門，潛伏長達3年，Red Hat將其登記為CVE-2024-3094列管，CVSS風險評分達到10分，震驚整個開源社群及資安界。

但XZ Utils及其中的liblzma元件並非只有SSHD採用，開源專案運用的情況相關廣泛，究竟其影響範圍如何，是否有人著手進行清查？迄今尚未有相關組織或研究人員提出說明。然而，在此情況不明的態勢下，又傳出有此後門程式的供應鏈攻擊事故。

資安業者Phylum指出，他們發現以程式語言Rust實作的liblzma遭遇供應鏈攻擊，維護者於4月5日將其中一個元件liblzma-sys進行0.3.2改版，但研究人員發現，當中被植入了「XZ後門程式」，而有可能導致該程式庫面臨潛在威脅，或是被用於寄生攻擊。

程式庫liblzma原是在XZ Utils實作的LZMA資料壓縮程式庫，有人以Rust程式語言打造同名程式庫，上架於Rust套件庫crates.io，供這種程式語言的開發者運用。

對此，研究人員9日於該專案的程式碼儲存庫GitHub通報此事，數個小時後開發者移除相關程式碼。在下架之前，受影響的liblzma、liblzma-sys程式庫分別被下載5,500及1,100次。