XZ Utils 백도어

3. 작동 방식

XZ Utils 5.6.0 및 5.6.1 릴리스에는 백도어가 삽입되어 있다. 제3자 패치가 적용되지 않은 SSH 서버에서는 익스플로잇이 작동하지 않지만, 대부분의 리눅스 배포판에 적용된 패치로 인해 악의적인 행위자가 SSHD 인증을 깨고 원격으로 전체 시스템에 무단 액세스할 수 있다.^[64]

악성 코드는 두 개의 압축된 테스트 파일 형태로, glibc의 IFUNC 메커니즘을 사용하여 오픈SSH의 RSA_public_decrypt 함수를 악성 코드로 대체한다. 이 파일들은 깃 저장소에는 존재하지만, 압축 해제 후 프로그램에 삽입되기 전까지는 작동하지 않는다.^[57]

OpenSSH는 일반적으로 liblzma를 로드하지 않지만, 여러 Linux 배포판에서 사용하는 패치로 인해 libsystemd가 로드되고, 이는 다시 lzma를 로드한다.^[57] 깃허브에 업로드된 릴리스 tar 파일에 포함된 수정된 build-to-host.m4 파일은 liblzma에 백도어 주입을 수행하는 스크립트를 압축 해제한다. 이 수정된 m4 파일은 git 저장소에는 없으며, git과 별도로 관리자가 릴리스한 tar 파일에만 존재한다.^[57]

백도어 주입 스크립트는 시스템이 glibc 및 GCC를 사용하고, dpkg 또는 rpm 기반 x86-64 Linux 시스템인 경우에만 작동한다.^[57]

4. 공격 주체 및 배후

Jia Tan이라는 이름과 JiaT75라는 아이디를 사용하는 사용자가 약 3년 동안 프로젝트 내에서 신뢰를 얻기 위해 노력한 결과 백도어가 삽입되었다.^[1] 창립자와 유지관리자가 다른 새로운 참가자에게 프로젝트 제어권을 넘겨야 한다는 압력을 받은 후, Jia Tan은 XZ Utils의 공동 유지관리자 지위를 얻었고, 백도어가 삽입된 5.6.0 버전과 5.6.1 버전을 배포할 수 있었다.^[1]

이 백도어는 그 정교함과 공격자가 신뢰를 얻기 위해 오랜 시간 동안 높은 수준의 운영 보안을 실천했다는 점에서 주목받았다.^[1] 미국의 보안 연구원 Dave Aitel은 이것이 러시아 대외정보국의 지시를 받으며 활동하는 것으로 여겨지는 지능형 지속 공격단체인 APT29(코지 베어)의 행동 양식과 유사하다고 말했다.^[1] 저널리스트 토마스 클라번은 상당한 자원을 가진 국가 행위자 또는 비국가 행위자일 수 있다고 제안했다.^[1]

5. 반응

사이버보안 및 인프라 보안국은 영향을 받는 장치를 백도어가 삽입되지 않은 이전 버전으로 롤백해야 한다는 보안 권고를 발표했다.^[66] 레드햇, 수세, 데비안을 포함한 리눅스 소프트웨어 공급업체들은 이 권고에 따라 영향을 받는 패키지에 대해 업데이트를 취소하고 이전 버전으로 되돌렸다.^[64][67] 깃허브는 xz 소스 코드 저장소 미러를 비활성화했다가 다시 복원했다.^[21]

캐노니컬은 우분투 24.04 LTS 및 해당 배포판의 베타 릴리스를 일주일 연기하고 모든 배포판 패키지의 완전한 바이너리 재구축을 선택했다.^[22] 우분투의 안정적인 버전은 영향을 받지 않았지만 업스트림 버전은 영향을 받았다. 캐노니컬은 원래 릴리스 기한까지 발견된 백도어가 컴파일 중에 추가 패키지에 영향을 미치지 않는다고 보장할 수 없었기 때문에 이 예방 조치를 취했다.^[23] 2024년 5월 30일, 백도어가 제거된 버전 5.6.2가 공개되었다.^[48]

센티넬원의 알렉스 스타모스는 "이것은 모든 소프트웨어 제품에 설치된 백도어 중 가장 광범위하고 효과적인 백도어일 수 있었다"라고 했으며, 백도어가 탐지되지 않은 채로 남아 있었다면 "백도어 제작자에게 SSH를 실행하는 전 세계 수억 대의 컴퓨터에 대한 마스터 키를 제공했을 것"이라고 말했다.^[69] 또한 이 사건은 사이버 인프라의 중요한 부분을 무급 자원봉사자에게 의존시키는 문제에 대한 논의를 촉발시켰다.^[70]

5. 1. 백도어 대응 패치

5. 2. 업계 반응

6. 시사점

(이전 출력이 비어 있으므로, 수정할 내용이 없습니다. 원본 소스와 요약이 제공되면 다시 시도해주세요.)

참조

_[1] 웹사이트 Understanding Red Hat’s response to the XZ security incident https://www.redhat.c[...] 2024-11-04
_[2] AV media Oxide and Friends 4/8/2024 -- Discovering the XZ Backdoor with Andres Freund https://www.youtube.[...] 2024-11-04
_[3] 웹사이트 Remove the backdoor found in 5.6.0 and 5.6.1 (CVE-2024-3094). https://github.com/t[...] 2024-06-19
_[4] 웹사이트 xz-utils backdoor situation (CVE-2024-3094) https://gist.github.[...] 2024-04-02
_[5] 웹사이트 Red Hat warns of backdoor in XZ tools used by most Linux distros https://www.bleeping[...] 2024-03-29
_[6] 웹사이트 CVE-2024-3094 https://nvd.nist.gov[...] NIST 2024-04-02
_[7] 웹사이트 A backdoor in xz https://lwn.net/Arti[...] 2024-04-02
_[8] 웹사이트 Beware! Backdoor found in XZ utilities used by many Linux distros (CVE-2024-3094) https://www.helpnets[...] 2024-03-29
_[9] 웹사이트 What we know about the xz Utils backdoor that almost infected the world https://arstechnica.[...] 2024-04-01
_[10] 웹사이트 oss-security - backdoor in upstream xz/liblzma leading to ssh server compromise https://www.openwall[...] 2024-04-03
_[11] 웹사이트 Red Hat, CISA Warn of XZ Utils Backdoor https://duo.com/deci[...] 2024-03-29
_[12] 웹사이트 Malicious backdoor spotted in Linux compression library xz https://www.theregis[...] 2024-04-01
_[13] 웹사이트 Urgent security alert for Fedora 41 and Fedora Rawhide users https://www.redhat.c[...] Red Hat 2024-03-29
_[14] 웹사이트 Watching xz unfold from afar https://connortumble[...] 2024-04-06
_[15] 웹사이트 Timeline summary of the backdoor attack on XZ Utils https://gigazine.net[...] 2024-04-07
_[16] 간행물 The Mystery of 'Jia Tan,' the XZ Backdoor Mastermind https://www.wired.co[...] 2024-04-03
_[17] 웹사이트 Malicious xz backdoor reveals fragility of open source https://www.theregis[...] 2024-04-08
_[18] 웹사이트 Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 https://www.cisa.gov[...] CISA 2024-03-29
_[19] 웹사이트 SUSE addresses supply chain attack against xz compression library https://www.suse.com[...] SUSE 2024-03-29
_[20] 메일링 리스트 "[SECURITY] [DSA 5649-1] xz-utils security update" https://lists.debian[...] 2024-03-29
_[21] 웹사이트 Important information regarding xz-utils (CVE-2024-3094) https://about.gitlab[...] 2024-05-31
_[22] 웹사이트 Noble Numbat Beta delayed (xz/liblzma security update) https://discourse.ub[...] 2024-04-10
_[23] 웹사이트 Ubuntu 24.04 Beta Delayed Due to Security Issue https://www.omgubunt[...] 2024-04-10
_[24] 뉴스 Did One Guy Just Stop a Huge Cyberattack? https://www.nytimes.[...] 2024-04-04
_[25] 웹사이트 How one volunteer stopped a backdoor from exposing Linux systems worldwide https://www.theverge[...] 2024-04-04
_[26] 웹사이트 Remove the backdoor found in 5.6.0 and 5.6.1 (CVE-2024-3094). https://github.com/t[...] 2024-06-19
_[27] 웹사이트 A backdoor in xz https://lwn.net/Arti[...] 2024-04-02
_[28] 웹사이트 CVE-2024-3094 https://nvd.nist.gov[...] NIST 2024-04-02
_[29] 웹사이트 Red Hat warns of backdoor in XZ tools used by most Linux distros https://www.bleeping[...] 2024-03-29
_[30] 웹사이트 XZ Utils Backdoor – Everything You Need to Know, and What You Can Do https://www.akamai.c[...] 2024-04-02
_[31] 웹사이트 xz-utils backdoor situation (CVE-2024-3094) https://gist.github.[...] 2024-04-02
_[32] 웹사이트 Beware! Backdoor found in XZ utilities used by many Linux distros (CVE-2024-3094) https://www.helpnets[...] 2024-03-29
_[33] 웹사이트 oss-security - backdoor in upstream xz/liblzma leading to ssh server compromise https://www.openwall[...] 2024-04-03
_[34] 웹사이트 What we know about the xz Utils backdoor that almost infected the world https://arstechnica.[...] 2024-04-01
_[35] 웹사이트 Red Hat, CISA Warn of XZ Utils Backdoor https://duo.com/deci[...] 2024-03-29
_[36] 웹사이트 Malicious backdoor spotted in Linux compression library xz https://www.theregis[...] 2024-04-01
_[37] 웹사이트 Urgent security alert for Fedora 41 and Fedora Rawhide users https://www.redhat.c[...] Red Hat 2024-03-29
_[38] 웹사이트 Watching xz unfold from afar https://connortumble[...] 2024-03-31
_[39] 웹사이트 Timeline summary of the backdoor attack on XZ Utils https://gigazine.net[...] 2024-04-03
_[40] 간행물 The Mystery of 'Jia Tan,' the XZ Backdoor Mastermind https://www.wired.co[...] 2024-04-03
_[41] 웹사이트 Malicious xz backdoor reveals fragility of open source https://www.theregis[...] 2024-04-08
_[42] 웹사이트 Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 https://www.cisa.gov[...] CISA 2024-03-29
_[43] 웹사이트 SUSE addresses supply chain attack against xz compression library https://www.suse.com[...] SUSE 2024-03-29
_[44] 간행물 "[SECURITY] [DSA 5649-1] xz-utils security update" https://lists.debian[...] 2024-03-29
_[45] 웹사이트 Important information regarding xz-utils (CVE-2024-3094) https://about.gitlab[...] 2024-05-31
_[46] 웹사이트 Noble Numbat Beta delayed (xz/liblzma security update) https://discourse.ub[...] 2024-04-03
_[47] 웹사이트 Ubuntu 24.04 Beta Delayed Due to Security Issue https://www.omgubunt[...] 2024-04-03
_[48] 웹사이트 Response to backdoor incident https://github.com/t[...] 2024-07-08
_[49] 웹사이트 The Story Behind The XZ Backdoor Is Way More Fascinating Than It Should Be https://www.techdirt[...] 2024-04-08
_[50] 웹사이트 How half-a-second of suspicious activity led an engineer to prevent a massive cyberattack https://english.elpa[...] 2024-04-10
_[51] 뉴스 Did One Guy Just Stop a Huge Cyberattack? https://www.nytimes.[...] 2024-04-03
_[52] 웹사이트 How one volunteer stopped a backdoor from exposing Linux systems worldwide https://www.theverge[...] 2024-04-02
_[53] 웹인용 A backdoor in xz https://lwn.net/Arti[...] 2024-04-02
_[54] 웹인용 CVE-2024-3094 https://nvd.nist.gov[...] NIST 2024-04-02
_[55] 웹인용 Red Hat warns of backdoor in XZ tools used by most Linux distros https://www.bleeping[...] 2024-03-29
_[56] 웹인용 XZ Utils Backdoor – Everything You Need to Know, and What You Can Do https://www.akamai.c[...] 2024-04-01
_[57] 웹인용 xz-utils backdoor situation (CVE-2024-3094) https://gist.github.[...] 2024-04-02
_[58] 웹인용 Beware! Backdoor found in XZ utilities used by many Linux distros (CVE-2024-3094) https://www.helpnets[...] 2024-03-29
_[59] 웹인용 What we know about the xz Utils backdoor that almost infected the world https://arstechnica.[...] 2024-04-01
_[60] 웹인용 oss-security - backdoor in upstream xz/liblzma leading to ssh server compromise https://www.openwall[...] 2024-04-03
_[61] 웹인용 XZ Struck By Malicious Code That Could Allow Unauthorized Remote System Access https://www.phoronix[...] 2024-03-29
_[62] 웹인용 Red Hat, CISA Warn of XZ Utils Backdoor https://duo.com/deci[...] 2024-03-29
_[63] 웹인용 Malicious backdoor spotted in Linux compression library xz https://www.theregis[...] 2024-04-01
_[64] 웹인용 Urgent security alert for Fedora 41 and Fedora Rawhide users https://www.redhat.c[...] Red Hat 2024-03-29
_[65] 웹인용 The Mystery of ‘Jia Tan,’ the XZ Backdoor Mastermind https://www.wired.co[...] 2024-04-03
_[66] 웹인용 Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 https://www.cisa.gov[...] CISA 2024-03-29
_[67] 웹인용 SUSE addresses supply chain attack against xz compression library https://www.suse.com[...] SUSE 2024-03-29
_[68] 웹인용 GitHub Disables The XZ Repository Following Today's Malicious Disclosure https://www.phoronix[...] 2024-03-31
_[69] 웹인용 Did One Guy Just Stop a Huge Cyberattack? https://www.nytimes.[...] 2024-04-04
_[70] 웹인용 How one volunteer stopped a backdoor from exposing Linux systems worldwide https://www.theverge[...] 2024-04-04