Puerta trasera de XZ Utils (CVE-2024-3094)
¿Qué es Puerta trasera de XZ Utils (CVE-2024-3094)?
Puerta trasera de XZ Utils (CVE-2024-3094)Ataque de cadena de suministro de 2024, casi exitoso, en el que un contribuyente de confianza implantó una puerta trasera SSH ofuscada en la biblioteca xz/liblzma distribuida por la mayoría de distribuciones Linux.
La puerta trasera de XZ Utils (CVE-2024-3094) es un compromiso de la cadena de suministro de software divulgado el 29 de marzo de 2024 por el ingeniero de Microsoft Andres Freund, tras detectar uso anómalo de CPU y errores de Valgrind en sshd en un sistema Debian sid. La investigación reveló que el mantenedor upstream de xz/liblzma 'Jia Tan' —una identidad que pasó casi dos años ganándose la confianza del proyecto— había introducido scripts de compilación ofuscados que, al empaquetarse en distribuciones basadas en rpm o deb con la dependencia libsystemd → liblzma de systemd, sustituían una función del servidor OpenSSH mediante resolutores IFUNC y permitían ejecución remota de código a quien poseyera una clave privada Ed448 concreta. El código malicioso se incluyó en xz-utils 5.6.0 y 5.6.1 y alcanzó Debian testing/unstable, Fedora 40/41 (Rawhide), openSUSE Tumbleweed, Kali y Arch, pero se detectó antes de la mayoría de versiones estables. El incidente cambió la percepción del riesgo asociado a dependencias de un único mantenedor, al sigilo basado en IFUNC y a los límites de la confianza en contribuyentes veteranos.
● Ejemplos
- 01
Andres Freund descubrió la puerta trasera tras observar que sshd tardaba unos 500 ms más de lo esperado en logins fallidos en Debian unstable.
- 02
Las distribuciones revirtieron xz-utils a la rama 5.4.x y rotaron las claves SSH de host en cualquier sistema que hubiera ejecutado brevemente 5.6.0 o 5.6.1.
● Preguntas frecuentes
¿Qué es Puerta trasera de XZ Utils (CVE-2024-3094)?
Ataque de cadena de suministro de 2024, casi exitoso, en el que un contribuyente de confianza implantó una puerta trasera SSH ofuscada en la biblioteca xz/liblzma distribuida por la mayoría de distribuciones Linux. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.
¿Qué significa Puerta trasera de XZ Utils (CVE-2024-3094)?
Ataque de cadena de suministro de 2024, casi exitoso, en el que un contribuyente de confianza implantó una puerta trasera SSH ofuscada en la biblioteca xz/liblzma distribuida por la mayoría de distribuciones Linux.
¿Cómo funciona Puerta trasera de XZ Utils (CVE-2024-3094)?
La puerta trasera de XZ Utils (CVE-2024-3094) es un compromiso de la cadena de suministro de software divulgado el 29 de marzo de 2024 por el ingeniero de Microsoft Andres Freund, tras detectar uso anómalo de CPU y errores de Valgrind en sshd en un sistema Debian sid. La investigación reveló que el mantenedor upstream de xz/liblzma 'Jia Tan' —una identidad que pasó casi dos años ganándose la confianza del proyecto— había introducido scripts de compilación ofuscados que, al empaquetarse en distribuciones basadas en rpm o deb con la dependencia libsystemd → liblzma de systemd, sustituían una función del servidor OpenSSH mediante resolutores IFUNC y permitían ejecución remota de código a quien poseyera una clave privada Ed448 concreta. El código malicioso se incluyó en xz-utils 5.6.0 y 5.6.1 y alcanzó Debian testing/unstable, Fedora 40/41 (Rawhide), openSUSE Tumbleweed, Kali y Arch, pero se detectó antes de la mayoría de versiones estables. El incidente cambió la percepción del riesgo asociado a dependencias de un único mantenedor, al sigilo basado en IFUNC y a los límites de la confianza en contribuyentes veteranos.
¿Cómo defenderse de Puerta trasera de XZ Utils (CVE-2024-3094)?
Las defensas contra Puerta trasera de XZ Utils (CVE-2024-3094) combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.
¿Cuáles son otros nombres para Puerta trasera de XZ Utils (CVE-2024-3094)?
Nombres alternativos comunes: CVE-2024-3094, Puerta trasera Jia Tan, Puerta trasera de liblzma.
● Términos relacionados
- attacks№ 1234
Ataque a la cadena de suministro
Ataque que compromete a un proveedor de software, hardware o servicios de confianza para llegar a sus clientes finales.
- appsec№ 1186
Seguridad de la cadena de suministro de software
Disciplina que protege cada eslabón de la producción de software —fuente, dependencias, build, firma, distribución y despliegue— frente a manipulación, código malicioso y pérdida de integridad.
- malware№ 095
Puerta trasera
Mecanismo encubierto que evita la autenticación o los controles habituales para conceder al atacante un acceso futuro al sistema.
- network-security№ 1205
SSH
Protocolo de red criptográfico (RFC 4251, puerto 22) que ofrece inicio de sesión remoto, ejecución de comandos y túneles autenticados, cifrados e íntegros sobre redes no fiables.
- attacks№ 719
Paquete malicioso de npm
Paquete de npm que contiene codigo oculto para robar datos, instalar malware o comprometer aplicaciones que lo incluyan al instalarse.
- appsec№ 335
Ataque de dependencia confusa
Ataque a la cadena de suministro en el que el adversario publica un paquete malicioso en un registro público con el mismo nombre que una dependencia interna, engañando a las herramientas de build para que tomen la versión pública.