最近、オープンソースのツール「XZ Utils」のコンポーネントに悪意のあるバックドアが発見され、一部のLinuxシステムに脅威をもたらしています。 この脆弱性は現在、 CVE-2024-3094として追跡されています。
ほとんどの企業環境やアプリケーションは、 CVE-2024-3094の影響を受けません。 ただし、頻繁に更新されるシステムや、テスト環境・開発環境にあるシステムは、潜在的なリスクにさらされる可能性があります。
CVE-2024-3094 に関する詳細、具体的にはどのシステムが脆弱であるかや推奨される対策などについては、以下をお読みください。
XZ Utilsのバックドア「 CVE-2024-3094」とは何でしょうか？
CVE-2024-3094 は、ほとんどのLinuxディストリビューションに搭載されているデータ圧縮ツール「XZ Utils」のバージョン5.6.0 および5.6.1 で発見された悪意のあるバックドアに割り当てられた脆弱性識別子です。 CISA（）によると、この悪意のあるコードにより、影響を受けたシステムへの不正アクセスが可能になる恐れがあります。
マイクロソフトのソフトウェアエンジニアであり、PostgreSQLの開発者でもあるアンドレス・フロイント氏は、Debian における のSSHパフォーマンスの問題を調査していた際に、この脆弱性を発見しました。 フロイント氏は、それぞれ2月と3月にリリースされたバージョン 5.6.0 および5.6.1に、意図的に仕込まれたバックドアを発見しました。
現在、CVE-2024-3094 はのNational Vulnerability Database（）において「重大」の深刻度評価を受けており、CVSSスコアは 10.0となっています。 この脆弱性は、 のいくつかのローリングリリースおよび不安定版で確認されており、このバックドアは、 特定の条件を満たすDebianまたはRed Hatベースの システムを標的としていることが判明しています。その条件には以下が含まれます：
- Fedora Rawhide
- OpenSUSE Tumbleweed（ローリングリリース）
- Debian 5.51alpha-0.1
- Kali Linux（3月 26-29日～ 2024日の間に更新）
Taniumが のヘルプ記事「 CVE-2024-3094」で説明しているように、これらは安定版や本番環境向けのバージョンとは異なり、そのほとんどがアルファ版やローリングリリースとなっています。 他のリポジトリにも影響が出る可能性があります。
Red Hatは最新のアップデートにおいて、 のFedora 40 Linuxビルド（ ）について、「侵害されたという証拠は確認されていない」と述べています。 ただし、Fedora Linux 40 ベータ版には、「 “xz-libs-5.6.0-1.fc40.x86_64.rpm」および「 “xz-libs-5.6.0-2.fc40.x86_64.rpm」を含む、この問題の影響を受ける 2 つのバージョンの XZ ライブラリが含まれています。
「これらのビルドでは、悪意のあるコードの注入は実行されなかったと当社は考えています」とレッドハットは述べています。 「ただし、Fedora Linux 40 をご利用の方は、念のため5.4 ビルドにダウングレードすることをお勧めします。」 xzを 5.4.xに戻すアップデートが最近公開され、Fedora Linux 40 のユーザーは通常のアップデートシステムを通じてこれを入手できるようになっています。 懸念をお持ちのユーザーは、同社のウェブサイト に掲載されている「」の手順に従って、更新を強制的に実行することができます。
また、Red Hatによると、この悪意のあるコードは難読化されており、ダウンロードパッケージ全体に含まれているとのことです。一方、Gitの配布版には、悪意のあるコードのビルドをトリガーする「 M4 」マクロが含まれていません。
「悪意のある M4 マクロが存在する場合に備え、ビルド時に注入される第2段階のアーティファクトが、Git リポジトリ内に用意されています」と、レッドハットは続けています。 「これにより生成された悪意のあるビルドは、systemdを介してsshdの認証を妨害します。SSHはシステムへのリモート接続に広く利用されているプロトコルであり、sshdはそのアクセスを可能にするサービスです。特定の条件下では、この妨害により、悪意のある攻撃者がsshdの認証を突破し、システム全体への不正なリモートアクセスを獲得する可能性があると考えられます。」
CVE-2024-3094に対する推奨措置
CISAは、ユーザーおよび開発者に対し、XZ UtilsをXZ Utils 5.4.6などのセキュリティ上の問題がないバージョンにダウングレードすることを推奨しています。
また、Neowinでは、SSHで「xz –version」コマンドを実行し、システムに脆弱性のあるソフトウェアが含まれていないかを確認することを推奨しています。
XZツールを脆弱性のないバージョンにダウングレードできない企業に対しては、Taniumは、外部からアクセス可能なSSHを無効にすることを推奨しています。 また、企業は、システムの機能に支障をきたさないよう注意を払いながら、影響を受けたエンドポイントでSSHを無効にすることも検討すべきです。
Taniumが、XZ Utilsバックドアによるリスクの軽減にどのように役立つか
この脆弱性が示すように、脅威アクターは、複雑な攻撃を仕掛けるために、オープンソースコンポーネントを標的とするケースが増えています。 今、これまで以上に、企業は攻撃が業務に悪影響を及ぼすのを防ぐため、ソフトウェア・サプライチェーンに対する詳細な可視性を必要としています。
Taniumは、 CVE-2024-3094のような脆弱性を積極的に検知し、その影響を軽減するための包括的なツール群を提供しています。
- Tanium Guardian は、Tanium XEM プラットフォーム内の情報フィードであり、リアルタイムの脆弱性アラートと是正措置を提供することで、セキュリティチームが脅威に対して迅速かつ効果的に対応できるようにします。
- Taniumのソフトウェア部品表（SBOM） により、Taniumのお客様は、ソフトウェアサプライチェーンにおける脆弱性を即座に特定することができます。 SBOMは、環境に対するリアルタイムの可視性を提供し、エンドポイントの リスク管理を向上させます。 （新しいタブで開きます）。
- Tanium Comply は、分散型インフラストラクチャ全体にわたる脆弱性やコンプライアンス上のリスクを自動的に特定し、セキュリティ上のギャップを解消するためのデータを提供します。
CVE-2024-3094と同様の脆弱性について調べるには、当社の「Emerging Issues Blog」（）をご覧ください。
