兩週前微軟研究人員Andres Freund意外發現涉及SSH伺服器的供應鏈攻擊,並指出問題是在SSHD(Secure Shell Daemon)採用的資料壓縮程式庫XZ Utils,攻擊者對其中的LMZA壓縮演算法元件liblzma出手,在其程式碼埋入後門,潛伏長達3年,Red Hat將其登記為CVE-2024-3094列管,CVSS風險評分達到10分,震驚整個開源社群及資安界。
但XZ Utils及其中的liblzma元件並非只有SSHD採用,開源專案運用的情況相關廣泛,究竟其影響範圍如何,是否有人著手進行清查?迄今尚未有相關組織或研究人員提出說明。然而,在此情況不明的態勢下,又傳出有此後門程式的供應鏈攻擊事故。
資安業者Phylum指出,他們發現以程式語言Rust實作的liblzma遭遇供應鏈攻擊,維護者於4月5日將其中一個元件liblzma-sys進行0.3.2改版,但研究人員發現,當中被植入了「XZ後門程式」,而有可能導致該程式庫面臨潛在威脅,或是被用於寄生攻擊。
程式庫liblzma原是在XZ Utils實作的LZMA資料壓縮程式庫,有人以Rust程式語言打造同名程式庫,上架於Rust套件庫crates.io,供這種程式語言的開發者運用。
對此,研究人員9日於該專案的程式碼儲存庫GitHub通報此事,數個小時後開發者移除相關程式碼。在下架之前,受影響的liblzma、liblzma-sys程式庫分別被下載5,500及1,100次。
熱門新聞
2024-09-29
2024-10-01
2024-10-01
2024-10-01
2024-09-29
2024-09-30
2024-09-30