XZ Utils バックドア(CVE-2024-3094).

2024 年に発覚した、あと一歩で成功するところだったサプライチェーン攻撃。長年の貢献者が、ほぼすべての Linux ディストリビューションで使われる xz/liblzma 上流ライブラリに難読化された SSH バックドアを仕込んだ。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

2024 年に発覚した、あと一歩で成功するところだったサプライチェーン攻撃。長年の貢献者が、ほぼすべての Linux ディストリビューションで使われる xz/liblzma 上流ライブラリに難読化された SSH バックドアを仕込んだ。

XZ Utils バックドア(CVE-2024-3094)は、2024 年 3 月 29 日にマイクロソフトのエンジニア Andres Freund が公表したソフトウェアサプライチェーン侵害です。彼は Debian sid 上で sshd の異常な CPU 使用と Valgrind の警告に気付き、調査を進めました。その結果、xz/liblzma の上流メンテナを名乗っていた 'Jia Tan' という人物 ——約 2 年かけてプロジェクトの信頼を勝ち取った人格—— が難読化されたビルドスクリプトをコミットしていたことが判明します。これらのスクリプトは、rpm や deb 系ディストリビューションで systemd の libsystemd → liblzma 依存とともにパッケージ化された際、IFUNC リゾルバを経由して OpenSSH サーバの関数を置き換え、特定の Ed448 秘密鍵を持つ者にリモートコード実行を許す仕組みでした。悪意あるコードは xz-utils 5.6.0 と 5.6.1 に同梱され、Debian testing/unstable、Fedora 40/41(Rawhide)、openSUSE Tumbleweed、Kali、Arch にまで到達しましたが、多くの安定版リリース前に発見されました。この事件は、単独メンテナ依存、IFUNC を悪用したステルス、長期貢献者への信頼の限界について業界の認識を大きく塗り替えました。

XZ Utils バックドア(CVE-2024-3094) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: CVE-2024-3094, Jia Tan バックドア, liblzma バックドア。