XZ Backdoor：“真是千鈞一髮”

SSH後門

一個心懷不軌或已被收買的維護者在一個名為“ liblzma這是xz壓縮工具和函式庫的一部分，導致SSH中存在後門。這是一種高級軟體供應鏈攻擊，因為該庫被故意修改以植入後門，並使用混淆和隱蔽技術來隱藏攻擊負載，使其不被審查人員發現。

該漏洞於近期（3月29日後）被發現並揭露，目前攻擊處理仍在進行中。然而，由於漏洞似乎僅影響有限環境下的預發布版本（針對x86_64架構，使用GCC編譯的DEB和RPM軟體包），因此攻擊很快就得到控制。總之， CVE 被給予 CVSS 基本評分 其中10個漏洞屬於最嚴重的網路安全漏洞。一旦進入穩定版本，其影響將是災難性的。 

對此次攻擊的技術分析，包括： xz 後門深度解析此前已有其他文章對此進行了分析。本文將重點介紹此次攻擊的時間軸、偵測方法、迄今為止的處理進展，以及我們可以從中學到哪些教訓。

該後門的長期影響遠在最初的補丁發布後仍然存在。 2025 年 8 月，在 CVE-2024-3094 披露一年多後，Binarly 的安全研究人員發現，後門仍然存在於 Docker Hub 上發布的十幾個 Debian Docker 映像中，而 Debian 團隊拒絕移除它們，將其視為歷史開發遺留物，而非當前存在的風險。此外， OpenSSF 在 XZ 事件發生後不久，OpenJS 和 XZ 聯合發出警告，稱類似的社會工程接管嘗試已經針對 JavaScript 項目，這表明此處使用的維護者信任攻擊模式正在其他地方被重新利用。

XZ後門是如何注入的

注意：git 倉庫位於 git.tukaani.org。 然而， 還有 GitHub託管倉庫 （目前已封鎖）GitHub 帳戶發布了後來被整合到 Git 儲存庫中的變更。

後門程序的一部分似乎只存在於 5.6.0 和 5.6.1 版本的分發 tar 包中，而不是在 git 倉庫中，並且依賴… build-to-host.m4 中的單行 這是 autoconf 使用的巨集檔。另一部分位於兩個所謂的測試文件中。 bad-3-corrupt_lzma2.xz 以及 good-large_compressed.lzma

那是 commit特德 由 GitHub 帳戶“Jia Tan”創建嘉T75） 在裡面 xz 儲存庫 2月23日，我們進行了一項看似無害的更改，並添加了測試文件（據稱是.lzma和.xz壓縮塊）。但奇怪的是，這些測試文件並沒有被測試程式使用！ .m4檔案中的一行程式碼注入了一個混淆腳本（包含在tar套件中），該腳本會在configure指令執行完畢後，如果滿足某些條件，就會執行。它修改了Makefile檔。 liblzma 該庫包含從 .xz 檔案中提取資料的程式碼，反混淆後結束。 在這個腳本中，在 configure 腳本結束時呼叫。它決定是否修改建置過程以注入程式碼：僅在 GCC 和 GCC 連結器下、在 Debian 或 rpm 下、以及僅在 x86_64 Linux 下。如果匹配，注入的程式碼會透過取代兩個檔案來攔截執行。 ifunc 解析器會取代某些呼叫。這會導致符號表在記憶體中被解析（這需要時間，因此才會被偵測到，稍後會解釋）。

接下來事情變得有趣：後門會在動態連結器中安裝一個審計鉤子，等待 RSA_public_decrypt 函數符號到達，並將該符號重定向到後門程式碼中的某個位置，該位置隨後會回調到… 庫密碼大概是為了執行正常的身份驗證。如果運行的程式具有進程名稱，則有效載荷將被啟動。 /usr/sbin/sshd很明顯，SSH 伺服器是攻擊目標。傳統上， sshd的 像 OpenSSH 這樣的伺服器沒有與任何伺服器關聯 liblzma但是 sshd 是 經常修補 為了支援 systemd-notify，以便在 sshd 運行時其他服務可以啟動。然後 liblzma 會被間接載入。 systemd形成一個完整的循環。

後門尚未完全分析，但似乎是 允許遠端命令執行 （遠端程式碼執行） 擁有 sshd 守護程式的權限在預認證環境下運作。當後門配對到遠端憑證時，會使用 ChaCha20 演算法解密憑證訊息，解密成功後，訊息會傳遞給… 系統（）所以這本質上是一種有門控的遠端程式碼執行，比單純的公鑰繞過嚴重得多。 

後來發布的 5.6.1 tar 套件顯示了為隱藏痕跡所做的更多努力，包括進一步混淆符號名稱，以及嘗試修復已發現的錯誤。 延伸機構 此外，還設置了額外的測試文件，用於查找某些簽名，以便添加到後門中。

這種相當複雜的攻擊可能要等到Linux發行版趨於穩定後才會被發現。幸運的是，有些人喜歡探究異常情況發生的原因。