XZ Utils

3. 사용법

gzip 및 bzip2와 유사하게, xz와 lzma는 단일 파일(또는 데이터 스트림)만 압축할 수 있다. 여러 파일을 압축하려면 먼저 tar와 같은 아카이빙 프로그램을 사용해야 한다. GNU tar 구현 버전 1.22 이상은 `--xz` 또는 `-J` 스위치를 사용하여 xz 압축을 지원한다.

3. 1. 압축 예시

3. 2. 압축 해제 예시

3. 3. GNU tar를 이용한 압축 및 압축 해제

4. xz 형식

xz 형식은 필터 전처리를 허용하여 lzma를 개선한 압축 파일 형식으로, 7z 필터는 LZMA SDK를 통해 퍼블릭 도메인으로 공개되어 있는 7z 필터와 유사하다.^[2]

대부분의 경우 xz는 zip,^[3] gzip, bzip2와 같은 대안보다 더 높은 압축률을 달성한다. 압축 해제 속도는 bzip2보다 빠르지만 gzip보다 느리다. 압축은 gzip보다 훨씬 느릴 수 있으며 높은 수준의 압축에서는 bzip2보다 느리고 압축된 파일이 여러 번 사용될 때 가장 유용하다.^[4][5]

xz 형식은 전처리 필터를 허용하여 lzma를 개선했다. 사용된 정확한 필터는 7z에서 사용된 필터와 유사하며, 7z의 필터는 LZMA SDK를 통해 퍼블릭 도메인으로 제공된다.

5. 개발

XZ Utils의 개발은 Tukaani 프로젝트 내에서 이루어졌으며, 이 프로젝트는 한때 슬랙웨어 기반의 리눅스 배포판을 관리했던 소규모 개발자 그룹이다.^[8] `xz` 및 `liblzma`의 모든 소스 코드는 퍼블릭 도메인으로 공개되어 있지만, 일부 스크립트에는 GNU 일반 공중 사용 허가서 또는 GNU 약소 일반 공중 사용 허가서가 적용된다.^[1]

XZ Utils 소프트웨어와 함께 배포되는 GNU 일반 공중 사용 허가서가 적용된 스크립트 및 소스 코드는 다음과 같다:

• libc 함수인 getopt^영어 (GNU LGPL v2.1)의 선택적 구현
• pthread 감지를 위한 m4 스크립트 (GNU GPL v3)
• 일부 중요하지 않은 래퍼 스크립트(xzgrep 등) (GNU GPL v2)
• 빌드 시스템과 통합되지 않은 예제 프로그램 scanlzma

6. 공급망 공격 (2024년)

2024년 3월 29일, Openwall의 oss-security 메일링 리스트에 liblzma 코드에 취약점이 삽입되었다는 것을 알리는 스레드가 게시되었다.^[46] 스레드 작성자인 안드레스 프로인트(Andres Freund)는 `sshd`가 많은 양의 CPU를 사용하고 있다는 것을 알고 원인을 찾던 중^[47] tar 파일의 구성 스크립트 추가를 통해 백도어 설정 코드를 삽입하는 압축 테스트 파일을 찾아냈다. 이 취약점은 레드햇이 발행한 이며, 취약점 위험 지수는 10점 만점에 10점이다.

해당 악성코드가 포함된 버전은 5.6.0, 5.6.1인 것으로 알려져 있다. SSH 서버의 특정 서드 파티 패치를 사용하지 않는 한 취약점은 작동되지 않지만, 아닐 경우 잠재적으로 악의적인 행위자가 sshd 인증을 깨고 원격으로 전체 시스템에 대한 무단 액세스 권한을 얻을 수 있다.^[48]

깃허브는 공급망 공격으로 인해 XZ 저장소를 서비스 약관 위반을 이유로 코드를 사이트에서 내렸다.^[49] 백도어는 xz 프로젝트의 관리자인 "JiaT75"에 의해 추가되었지만, 이 백도어가 관리자가 의도적으로 삽입한 것인지, 아니면 관리자 계정이 해킹 된 것인지는 현재 확실하지 않다.^[50]

이후 조사에서 공격자는 약 3년에 걸쳐 프로젝트 내에서 중요한 입지를 확보했다는 것이 밝혀졌다.^[38] 전 미국 국가안보국 해커인 데이브 아이텔(Dave Aitel)은 이 공격 패턴이 러시아 대외정보국 해커로 보이는 (Cozy Bear)(APT29)의 공격과 매우 유사하다고 주장했다.^[39]

6. 1. 공격 방식

6. 2. 영향을 받는 시스템

6. 3. 한국에의 시사점

참조

_[1] 웹사이트 Licensing https://tukaani.org/[...]
_[2] Citation LZMA Util https://tukaani.org/[...] 2011-01-25
_[3] 웹사이트 How to compress the whole directory using xz and tar in Linux https://www.cybercit[...]
_[4] 웹사이트 How to squeeze the most out of Linux file compression https://www.networkw[...] 2020-02-09
_[5] 웹사이트 Gzip vs Bzip2 vs XZ Performance Comparison https://www.rootuser[...] 2020-02-09
_[6] 웹사이트 xz, unxz, xzcat, lzma, unlzma, lzcat – Compress or decompress .xz and .lzma files https://man.cx/xz
_[7] 웹사이트 XZ Utils Release Notes https://git.tukaani.[...]
_[8] 웹사이트 Official XZ Specification https://tukaani.org/[...] Lasse Collin 2024-10-08
_[9] 웹사이트 News: The .xz file format specification version 1.0.0 is now officially released https://git.tukaani.[...] 2009-01-28
_[10] 웹사이트 In what cases is the output of a GPL program covered by the GPL too? https://www.gnu.org/[...] 2019-08-21
_[11] 웹사이트 News: Switching to xz compression for new packages https://www.archlinu[...] 2010-03-23
_[12] 웹사이트 Arch Linux - News: Now using Zstandard instead of xz for package compression https://www.archlinu[...] 2020-01-07
_[13] 웹사이트 Changes/Switch RPMs to zstd compression https://fedoraprojec[...] 2024-03-30
_[14] 웹사이트 oss-security - backdoor in upstream xz/liblzma leading to ssh server compromise https://www.openwall[...] 2024-04-08
_[15] 웹사이트 A backdoor in xz https://lwn.net/Arti[...] 2024-03-30
_[16] 웹사이트 How to squeeze the most out of Linux file compression https://www.networkw[...] 2020-02-09
_[17] 웹사이트 Gzip vs Bzip2 vs XZ Performance Comparison https://www.rootuser[...] 2020-02-09
_[18] 웹사이트 backdoor in upstream xz/liblzma leading to ssh server compromise https://www.openwall[...] oss-security mailing list 2024-03-30
_[19] URL https://git.tukaani.[...]
_[20] URL https://man.cx/xz
_[21] 웹사이트 In what cases is the output of a GPL program covered by the GPL too? https://www.gnu.org/[...] 2019-08-21
_[22] 웹사이트 News: Switching to xz compression for new packages https://www.archlinu[...] 2020-02-29
_[23] 웹사이트 Arch Linux - News: Now using Zstandard instead of xz for package compression https://www.archlinu[...] 2020-01-07
_[24] 웹사이트 A backdoor in xz https://lwn.net/Arti[...] 2024-03-30
_[25] 웹사이트 NVD - CVE-2024-3094 https://nvd.nist.gov[...] 2024-03-30
_[26] 웹사이트 XZ Utilsに悪意のあるコードが挿入された問題（CVE-2024-3094）について https://www.jpcert.o[...] 2024-09-18
_[27] 웹사이트 Urgent security alert for Fedora 41 and Rawhide users https://www.redhat.c[...] 2024-03-29
_[28] 웹사이트 XZ Utilsに悪意のあるコードが挿入された問題（CVE-2024-3094）について https://www.jpcert.o[...] JPCERT/CC 2024-04-14
_[29] 웹사이트 CVE-2024-3094 https://security-tra[...] 2024-03-30
_[30] 웹사이트 Arch Linux - News: The xz package has been backdoored https://archlinux.or[...] 2024-03-30
_[31] 웹사이트 Urgent security alert for Fedora 41 and Fedora Rawhide users https://www.redhat.c[...] 2024-03-30
_[32] 웹사이트 All about the xz-utils backdoor {{!}} Kali Linux Blog https://www.kali.org[...] 2024-03-30
_[33] 웹사이트 cve-details https://access.redha[...] 2024-03-30
_[34] 웹사이트 openSUSE addresses supply chain attack against xz compression library https://news.opensus[...] 2024-03-30
_[35] 웹사이트 CVE-2024-3094 https://aws.amazon.c[...] 2024-03-30
_[36] 웹사이트 Arch Linux - News: The xz package has been backdoored https://archlinux.or[...] 2024-03-30
_[37] 웹사이트 Disclosed backdoor in xz releases - FreeBSD not affected https://lists.freebs[...] 2024-03-30
_[38] 웹사이트 What we know about the xz Utils backdoor that almost infected the world https://arstechnica.[...] 2024-04-01
_[39] 간행물 The Mystery of 'Jia Tan,' the XZ Backdoor Mastermind https://www.wired.co[...] 2024-04-03
_[40] 문서 Licensing https://tukaani.org/[...]
_[41] 웹인용 How to squeeze the most out of Linux file compression https://www.networkw[...] Network World 2017-12-12
_[42] 웹인용 Gzip vs Bzip2 vs XZ Performance Comparison https://www.rootuser[...] 2015-09-16
_[43] 웹인용 News: Switching to xz compression for new packages https://www.archlinu[...] 2010-03-23
_[44] 웹인용 Arch Linux - News: Now using Zstandard instead of xz for package compression https://www.archlinu[...] 2020-01-07
_[45] 웹인용 Changes/Switch RPMs to zstd compression https://fedoraprojec[...] 2024-03-30
_[46] 웹인용 backdoor in upstream xz/liblzma leading to ssh server compromise https://www.openwall[...] oss-security mailing list 2024-03-29
_[47] 웹인용 A backdoor in xz https://lwn.net/Arti[...] 2024-03-30
_[48] 웹인용 Urgent security alert for Fedora 41 and Rawhide users https://www.redhat.c[...] 2024-03-29
_[49] 웹인용 GitHub Disables The XZ Repository Following Today's Malicious Disclosure https://www.phoronix[...] 2024-03-31
_[50] 웹인용 Backdoor found in widely used Linux utility breaks encrypted SSH connections https://arstechnica.[...] 2024-03-29
_[51] 웹인용 CVE-2024-3094 https://security-tra[...] 2024-03-30
_[52] 웹인용 Urgent security alert for Fedora 41 and Fedora Rawhide users https://www.redhat.c[...] 2024-03-30
_[53] 웹인용 All about the xz-utils backdoor {{!}} Kali Linux Blog https://www.kali.org[...] 2024-03-29
_[54] 웹인용 openSUSE addresses supply chain attack against xz compression library https://news.opensus[...] 2024-03-29
_[55] 웹인용 xz-utils backdoor situation https://gist.github.[...]
_[56] 웹인용 Arch Linux - News: The xz package has been backdoored https://archlinux.or[...] 2024-03-30
_[57] 웹인용 Disclosed backdoor in xz releases - FreeBSD not affected https://lists.freebs[...] 2024-03-30