Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02406

Опубликовано: 29 мар. 2024
Источник: fstec
CVSS3: 10
CVSS2: 10
EPSS Высокий

Описание

Уязвимость библиотеки liblzma пакета для сжатия данных XZ Utils связана с наличием недекларированных возможностей. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Gentoo Foundation Inc.
Novell Inc.
Сообщество свободного программного обеспечения
АО «НТЦ ИТ РОСА»
Fedora Project
Manjaro GmbH & Co
АО "НППКТ"
ООО «Юбитех»

Наименование ПО

Gentoo Linux
openSUSE Tumbleweed
Arch Linux
РОСА Кобальт
ROSA Virtualization
РОСА ХРОМ
Fedora
XZ Utils
Manjaro
ОСОН ОСнова Оnyx
UBLinux

Версия ПО

. (Gentoo Linux)
- (openSUSE Tumbleweed)
- (Arch Linux)
7.9 (РОСА Кобальт)
2.1 (ROSA Virtualization)
12.4 (РОСА ХРОМ)
40 (Fedora)
41 (Fedora)
5.6.0 (XZ Utils)
5.6.1 (XZ Utils)
- (Manjaro)
до 2.11 (ОСОН ОСнова Оnyx)
до 2405 (UBLinux)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО "НППКТ" ОСОН ОСнова Оnyx до 2.11
ООО «Юбитех» UBLinux до 2405

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Установка стабильной версии программного обеспечения из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- переход на стабильную версию, не содержащую бэкдор (например, XZ Utils 5.4.6 Stable);
- использование антивирусного программного обеспечения (содержащего актуальные базы и YARA-правила) для отслеживания попыток эксплуатации уязвимости;
- изменение учётных данных в операционной системе, в которой было установлено уязвимое программное обеспечение, по причине их возможной компрометации.
Использование рекомендаций производителя:
Для программных продуктов Red Hat:
https://access.redhat.com/security/cve/cve-2024-3094
https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
Для программных продуктов Novell Inc.:
https://news.opensuse.org/2024/03/29/xz-backdoor/
Для Debian/GNU Linux:
https://lists.debian.org/debian-security-announce/2024/msg00057.html
https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=1068024
Для Gentoo Security:
https://bugs.gentoo.org/show_bug.cgi?id=CVE-2024-3094
Для Arch Linux:
https://security.archlinux.org/ASA-202403-1
Для Manjaro:
https://forum.manjaro.org/t/xz-package-contains-a-vulnerability/159028
Для ОСОН ОСнова Оnyx (2.11):
Обновление программного обеспечения linux-firmware до версии 20240318.git3b128b60-0ubuntu2.osnova1
Для UBLinux:
https://security.ublinux.ru/CVE-2024-3094
Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2409
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2408
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2024-2407

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 99%
0.858
Высокий

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 10
ubuntu
почти 2 года назад

Malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. Through a series of complex obfuscations, the liblzma build process extracts a prebuilt object file from a disguised test file existing in the source code, which is then used to modify specific functions in the liblzma code. This results in a modified liblzma library that can be used by any software linked against this library, intercepting and modifying the data interaction with this library.

CVSS3: 10
redhat
почти 2 года назад

Malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. Through a series of complex obfuscations, the liblzma build process extracts a prebuilt object file from a disguised test file existing in the source code, which is then used to modify specific functions in the liblzma code. This results in a modified liblzma library that can be used by any software linked against this library, intercepting and modifying the data interaction with this library.

CVSS3: 10
nvd
почти 2 года назад

Malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. Through a series of complex obfuscations, the liblzma build process extracts a prebuilt object file from a disguised test file existing in the source code, which is then used to modify specific functions in the liblzma code. This results in a modified liblzma library that can be used by any software linked against this library, intercepting and modifying the data interaction with this library.

CVSS3: 10
debian
почти 2 года назад

Malicious code was discovered in the upstream tarballs of xz, starting ...

CVSS3: 10
github
почти 2 года назад

Malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. The tarballs included extra .m4 files, which contained instructions for building with automake that did not exist in the repository. These instructions, through a series of complex obfuscations, extract a prebuilt object file from one of the test archives, which is then used to modify specific functions in the code while building the liblzma package. This issue results in liblzma being used by additional software, like sshd, to provide functionality that will be interpreted by the modified functions.

EPSS

Процентиль: 99%
0.858
Высокий

10 Critical

CVSS3

10 Critical

CVSS2