Malicious code in xz/liblzma 😱

CVE-2024-3094

hahwul

Mar 30, 2024

바로 어제 압축 처리를 xz 패키지의 upstream tarballs에서 악의적인 동작이 확인되어 이슈입니다. 결론은 xz 내 Malicious code가 삽입되었고 이로 인해 많은 시스템이 영향받을 것으로 보입니다. CVE-2024-3093를 할당받은 이 이슈에 대해 이야기해볼까 합니다.

Xz

xz는 압축 도구로 LZMA2를 사용하며 압축 효율이 굉장히 좋은 도구이자 라이브러리입니다. 대다수 리눅스 배포판에 기본적으로 사용됩니다.

xz --help
Usage: xz [OPTION]... [FILE]...
Compress or decompress FILEs in the .xz format.

  -z, --compress      force compression
  -d, --decompress    force decompression
  -t, --test          test compressed file integrity
  -l, --list          list information about .xz files
  -k, --keep          keep (don't delete) input files
  -f, --force         force overwrite of output file and (de)compress links
  -c, --stdout        write to standard output and don't delete input files
  ...

Malicious Code

xz는 automake를 통한 빌드 과정에서 build-to-host.m4를 사용하는데 github 버전과 tarballs 버전이 상이하다고 합니다. 악성코드가 삽입됬다고 판단되는 tarballs 버전 기준에선 build-to-host.m4가 실행하는 스크립트가 악의적인 테스트 코드 데이터를 받고, 이를 이용하여 악성 코드를 실행합니다.

tests/files/bad-3-corrupt_lzma2.xz
tests/files/good-large_compressed.lzma

악성코드는 amd64 환경을 타겟팅해서 동작하는 것으로 보이고 sshd에 영향을 줄 수 있습니다. 해당 코드가 로드된다면 sshd에서 RSA_public_decrypt 함수가 공격자가 의도한 구현으로 동작하게 되며 인증 과정 우회에 사용될 수 있는 것 같습니다.

Efforts to mitigate

Github

Github에선 해당 Repo를 접근하지 못하도록 제한했습니다.

다만 실제로 이를 분석해야할 사용자들도 접근하지 못하고 있는 상태라 여러 의견이 나오기는 한데, 어쨌던 빠르게 악성코드에 대한 접근을 제한한 상태입니다. 그러나 Github을 미러링 하는 서비스들을 이용하면 찾아볼 수 있습니다 :D

Homebrew

일단 Homebrew 측에선 영향받던 5.6에서 5.4.6으로 강제 다운 그레이드되도록 변경된 상태입니다. Homebrew team의 경우 MacOS에선 영향이 없을 것으로 보고 있긴한데, 확실친 않아 다운 그레이드를 지원하고 모니터링하고 있는 상태입니다. 5.4.6이 안전할지 확실하지는 않지만, 우선은 5.6 사용자였다면 내려가는게 좋을 것 같습니다.

Homebrew/homebrew-core#167512

Interesting link

이슈와 관련된 이야기 흐름들인데, 읽어보시면 좋을 것 같아서 따로 모아둡니다.

Analysis in a single page

https://twitter.com/fr0gger_/status/1774342248437813525

References

#security