CVE-2024-3094 XZ Utils 供应链后门漏洞-讯岚社区

漏洞案例公开漏洞记录

CVE-2024-3094

XZ Utils 供应链后门漏洞

恶意维护代码被植入压缩库发布包，构建脚本会篡改 liblzma，可能影响 OpenSSH 认证路径并为攻击者提供远程控制能力。

漏洞概览

10.0

严重 · CVSS 3.1评分来源：redhat / CVE 记录

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

产品或分支	受影响范围	历史修复边界或说明
XZ Utils / liblzma	5.6.0、5.6.1 的相关恶意发布包/构建	使用发行版确认的安全包并验证来源

恶意内容被植入 XZ 上游发布 tarball 的构建链。构建过程从伪装测试文件中提取预制对象并修改 liblzma 函数，使最终库能够干预调用方的数据处理。源代码仓库、发布包和最终二进制是不同证据层。

已知恶意发布版本为 5.6.0/5.6.1，但实际后门路径还依赖发行版构建和链接条件。不能仅凭系统安装了 liblzma 就判定 OpenSSH 一定可被同样控制；应查发行版受影响包公告。

该事件展示了上游源代码、发布包和发行版构建链之间的供应链风险。受影响主机不仅需要回滚版本，还要验证 SSH 密钥、账户和构建产物是否被利用。

核对软件仓库来源、包版本、签名和发行版公告，检查构建产物与依赖关系；确认受影响或已遭入侵的主机按发行版处置建议重建和处理凭据。

立即回滚到发行版确认的安全版本并核验软件包哈希；按发行版公告重建或重装 OpenSSH；轮换 SSH 密钥和凭据，检查异常登录及持久化。

完成变更后，回读 XZ Utils liblzma 的实际运行版本、补丁与配置，确认已落在厂商修复范围；需要重启的服务或系统必须验证重启结果。再检查相关业务功能、访问控制与日志，记录修复前后证据。临时缓解应单独标注，并跟踪正式修复；没有触发异常不等于漏洞不存在。

英文技术描述已整理为中文，保留产品名、协议名和版本号。CVE 记录与 KEV 核验日期：2026-09-18；KEV 目录版本：2026.09.16。厂商公告可能继续更新，处置时应核对最新产品矩阵。

文章版权归原作者所有，内容仅用于合法合规的学习、研究与安全防护，未经允许请勿转载。

THE END