已存在10多年! Linux圈曝出灾难级漏洞 附缓解方案

“XZ Utils后门事件”（CVE-2024-3094）。这个漏洞影响广泛，确实被称为近年来最严重的供应链攻击之一。以下为您梳理关键信息和缓解方案：

漏洞概述

软件包：XZ Utils（5.6.0和5.6.1版本） 性质：供应链后门，攻击者通过篡改上游代码，在编译过程中注入恶意代码。 影响范围：

• 主要影响 Fedora 41/42、Debian测试版 等滚动发行版。
• 稳定版系统（如RHEL、Ubuntu LTS）通常不受影响，但开发者需检查开发环境。

危害：恶意代码可能通过SSH绕过认证，导致远程未授权访问。

缓解方案

1. 立即检查并降级XZ版本

• 检查版本：

  xz --version

• 如果版本为5.6.0或5.6.1，立即降级到5.4.x或更早版本：
  • Fedora：

    sudo dnf downgrade xz

  • Debian/Ubuntu：

    sudo apt install xz-utils=5.4.5-1  # 根据仓库可用版本调整

• 临时禁用XZ（如果无法降级）：

  sudo mv /usr/lib/x86_64-linux-gnu/liblzma.so.5 /usr/lib/x86_64-linux-gnu/liblzma.so.5.bak

2. 检查系统是否被入侵

• 监控SSH登录日志：

  sudo journalctl -u sshd | grep -i "accepted\|failed"

• 排查可疑进程：

  ps aux | grep -E "(ssh|systemd)" | grep -v grep

3. 更新系统并验证软件包签名

• 更新前验证仓库签名：

  sudo apt update --allow-releaseinfo-change
  sudo dnf update --refresh

4. 开发者额外措施

• 检查编译环境：确保CI/CD中使用的XZ版本无后门。
• 审计依赖库：使用ldd检查二进制文件是否链接恶意库：

  ldd /usr/bin/ssh | grep lzma

长期建议

启用供应链安全工具：

• 使用Sigstore验证软件签名。
• 在CI/CD中集成SBOM（软件物料清单）扫描。

最小化依赖：定期清理未使用的依赖包。 订阅安全通告：

• CVE官网
• 发行版安全邮件列表（如Ubuntu安全通告）。

常见误区澄清

• ❌ “所有Linux系统都受影响”
  ✅ 仅特定版本（5.6.0/5.6.1）及部分滚动发行版受直接影响。
• ❌ “漏洞无法检测”
  ✅ 可通过版本检查和日志分析快速发现异常。

官方资源

Red Hat公告：RHSA-2024:1386 Debian安全追踪：DSA-5648-1 开源社区分析报告：XZ后门技术分析

请根据您的系统类型立即行动。如果系统未使用受影响版本，保持常规更新即可。建议关注发行版官方通告，获取进一步修复指导。