• 發布單位:TWCERT/CC
• 更新日期:2024-04-23
• 點閱次數:26

• 內容說明：

研究人員發現XZ Utils資料壓縮程式庫已遭受供應鏈攻擊(Supply Chain Attack)(CVE-2024-3094)，該程式之特定版本已被植入後門程式，並有部分Linux發行版本安裝受影響之XZ Utils版本，請儘速確認並依官方建議採取對應措施。

• 影響平台：

受影響版本如下：
XZ Utils 5.6.0與5.6.1

受影響之Linux作業系統如下：
Alpine
Debian (testing、unstable及experimental)
Fedora 41、Fedora Rawhide及Fedora Linux 40 beta
Kali Linux
openSUSE Tumbleweed與openSUSE MicroOS

• 處置建議：

1. 確認版本後，請配合官方說明確認是否需要更新或是降低XZ Utils版本：
   Alpine：
   https://security.alpinelinux.org/vuln/CVE-2024-3094
   Debian：
   https://security-tracker.debian.org/tracker/CVE-2024-3094
   Fedora：
   https://fedoramagazine.org/cve-2024-3094-security-alert-f40-rawhide/
   Kali Linux：
   https://www.kali.org/blog/about-the-xz-backdoor/
   openSUSE：
   https://www.suse.com/security/cve/CVE-2024-3094.html
   https://news.opensuse.org/2024/03/29/xz-backdoor/
2. 於Linux作業系統透過以下指令確認XZ Utils的版本，以了解是否受本弱點影響：
   1. $ xz –version
   2. $ strings `which xz` | grep '5\.6\.[01]'
   若是使用Alpine作業系統，請使用以下指令確認：
   $ apk list xz