XZ Utilsのバックドア（CVE-2024-3094）

何が起きた

ソフトウェア「xz」の配布ファイル（tarball）に、悪意のあるコードが仕込まれているのが見つかりました。複雑なごまかし（難読化）によって、liblzmaというライブラリーを作る途中で、テスト用のファイルに見せかけた部品が取り出され、liblzmaの一部の処理が書き換えられます。その結果、このライブラリーを使うソフトウェアは、ライブラリーとのデータのやりとりを横取りされたり、書き換えられたりするおそれがあります。この脆弱性は、CISAのKEV（悪用が確認された脆弱性の一覧）には載っていません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

xz のバージョン 5.6.0 から含まれた、問題のコードが入った配布ファイルから作られたliblzmaを使っているシステムが影響を受けます。具体的にどのバージョンまでが対象かは、このデータからは不明です。

何をすればいい

今でも、問題のコードを含む版のxz（5.6.0 から含まれたもの。詳しい版は公式情報で確認）が入っていないか確認してください。見つかった場合は、メーカー（ベンダー）の公式情報を確認し、案内に従って対応してください。

用語メモ

バックドア

正規の手続きを通らずに、こっそりシステムに入り込んだり操作したりするために仕掛けられた「裏口」のことです。

ライブラリー

ほかのプログラムから呼び出して使う、よく使う機能をまとめた部品です。

tarball

複数のファイルを1つにまとめた配布用のファイルです。ソフトウェアのソースコードの配布によく使われます。

難読化

プログラムの中身を、人が読んでも分かりにくい形にわざと変えることです。