CVE-2024-3094
CVE-2024-3094: проверка систем на бэкдор xz/liblzma
Проверьте Linux-системы, где могли быть установлены upstream xz/liblzma 5.6.0 или 5.6.1: вредоносный код в отдельных исходных tarball-сборках мог изменить liblzma и повлиять на sshd. Дистрибутивы выпускали отдельные исправления и откаты; проверяйте конкретное происхождение пакета.
Кому нужно проверить
Администраторам Linux-серверов и рабочих станций, командам безопасности и эксплуатации, особенно системам с SSH-службой и пакетами xz/liblzma из тестовых/нестабильных репозиториев. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
При сочетании определённых сборочных условий модифицированная liblzma могла перехватывать взаимодействие динамически загружаемых программ и вмешиваться в аутентификацию sshd. Наличие штатного пакетного xz само по себе не доказывает успешную компрометацию конкретного хоста.
Затронутые версии
Upstream xz 5.6.0 и 5.6.1 содержали вредоносные изменения в распространяемых tarball-архивах; способ попадания и результат зависели от среды сборки и системной интеграции. Не приравнивайте номер версии к доказанному компрометированию: например, Canonical сообщает, что затронутая сборка была только в noble-proposed и не попала в выпущенные Ubuntu 24.04.
Исправленные версии
Не используйте потенциально затронутые tarball/пакеты 5.6.0/5.6.1. Установите исправленную версию и рекомендации именно вашего дистрибутива; upstream обычно указывает откат к проверенному xz 5.4.x, однако конкретные пакеты и статус зависят от поставщика. Для расследования сверяйте происхождение пакета и инструкции реагирования ОС.
Что сделать
- 1Определите пакет xz-utils/liblzma, версию, источник репозитория и дату установки на затронутых узлах; отдельно проверьте контейнеры, образы, CI и системы, собранные из upstream tarball.
- 2Следуйте advisory своего дистрибутива для определения затронутых сборок и безопасной версии. Обновление или откат выполняйте по процедуре поставщика, сохраняя журналы и метаданные пакетов для расследования.
- 3На узлах, где пакет мог быть скомпрометирован, выполните проверку целостности sshd и системы по рекомендациям поставщика; при подтверждённых признаках изоляция, переустановка из доверенного образа и ротация учётных данных важнее простого понижения версии.
- 4Проверьте журналы SSH, учётные записи и происхождение установленных пакетов; документируйте затронутые системы и обновите базовые образы, чтобы уязвимая библиотека не вернулась при пересоздании.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.