BDU:2024-02406 (CVE-2024-3094) — уязвимость библиотеки liblzma пакета для сжатия данных XZ Utils

По данным БДУ ФСТЭК России, по состоянию на 05.03.2025.

Уязвимость библиотеки liblzma пакета для сжатия данных XZ Utils связана с наличием недекларированных возможностей. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, выполнить произвольный код

Кого касается и что делать

• Уязвимое ПО: Gentoo Linux (Gentoo Foundation); openSUSE Tumbleweed (Novell); Arch Linux (Сообщество свободного программного обеспечения); и ещё 8 позиций
• Что делать: уязвимость устранена производителем — применить исправления: access.redhat.com, www.redhat.com, news.opensuse.org
• Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Уязвимое ПО

• Gentoo Linux (Gentoo Foundation) — операционная система
• openSUSE Tumbleweed (Novell) — операционная система
• Arch Linux (Сообщество свободного программного обеспечения) — операционная система · платформа: x86-64-bit
• РОСА Кобальт (АО «НТЦ ИТ РОСА») — 7.9 · операционная система
• ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
• РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система
• Fedora (Fedora Project) — версии 40, 41 · операционная система
• XZ Utils (Сообщество свободного программного обеспечения) — версии 5.6.0, 5.6.1 · прикладное ПО информационных систем
• Manjaro (Manjaro GmbH & Co) — операционная система
• ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.11 · операционная система
• UBLinux (ООО «Юбитех») — до 2405 · операционная система

Возможные меры по устранению уязвимости

Обновление.

• Установка стабильной версии программного обеспечения из доверенных источников.
• В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

— переход на стабильную версию, не содержащую бэкдор (например, XZ Utils 5.4.6 Stable);
— использование антивирусного программного обеспечения (содержащего актуальные базы и YARA-правила) для отслеживания попыток эксплуатации уязвимости;
— изменение учётных данных в операционной системе, в которой было установлено уязвимое программное обеспечение, по причине их возможной компрометации.
Использование рекомендаций производителя

• Для программных продуктов Red Hat: access.redhat.com/security/cve/cve-2024-3094; www.redhat.com/en/blog/urgent-security-alert-fedora-41-an…
• Для программных продуктов Novell Inc.: news.opensuse.org/2024/03/29/xz-backdoor/
• Для Debian/GNU Linux: lists.debian.org/debian-security-announce/2024/msg00057.html; bugs.debian.org/cgi-bin/bugreport.cgi
• Для Gentoo Security: bugs.gentoo.org/show_bug.cgi
• Для Arch Linux: security.archlinux.org/ASA-202403-1
• Для Manjaro: forum.manjaro.org/t/xz-package-contains-a-vulnerability/1…
• Для ОСОН ОСнова Оnyx (2.11): Обновление программного обеспечения linux-firmware до версии 20240318.git3b128b60-0ubuntu2.osnova1
• Для UBLinux: security.ublinux.ru/CVE-2024-3094
• Для ОС РОСА "КОБАЛЬТ": abf.rosa.ru/advisories/ROSA-SA-2024-2409; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosa.ru/advisories/ROSA-SA-2024-2408
• Для операционной системы РОСА ХРОМ: abf.rosa.ru/advisories/ROSA-SA-2024-2407

Источники

• access.redhat.com/security/cve/cve-2024-3094
• www.redhat.com/en/blog/urgent-security-alert-fedora-41-an…
• news.opensuse.org/2024/03/29/xz-backdoor/
• lists.debian.org/debian-security-announce/2024/msg00057.html
• bugs.debian.org/cgi-bin/bugreport.cgi
• bugs.gentoo.org/show_bug.cgi
• security.archlinux.org/ASA-202403-1
• forum.manjaro.org/t/xz-package-contains-a-vulnerability/1…
• www.opennet.ru/opennews/art.shtml
• www.kaspersky.ru/blog/cve-2024-3094-vulnerability-backdoo…