Бэкдор в xz/liblzma: компрометация SSH-сервера через цепочку поставок
В библиотеке xz/liblzma обнаружен бэкдор, позволяющий удалённо скомпрометировать SSH-сервер. Разбираемся, как это произошло и что делать.
Бэкдор в xz/liblzma: цепочка поставок под ударом
Не успели мы привыкнуть к мысли, что open-source — это безопасно, как очередной инцидент напоминает: доверяй, но проверяй. В библиотеке xz/liblzma, широко используемой для сжатия данных, обнаружен бэкдор, который позволяет злоумышленнику удалённо скомпрометировать SSH-сервер. Да, тот самый SSH, через который вы, скорее всего, заходите на свои серверы.
#### Что случилось?
Исследователи безопасности нашли вредоносный код в upstream-репозитории xz/liblzma. Бэкдор был внедрён через механизм автоматической сборки и распространялся вместе с легитимными версиями библиотеки. При определённых условиях злоумышленник мог получить полный контроль над SSH-сервером, используя уязвимость в liblzma.
#### Кто в зоне риска?
Под ударом оказались все системы, использующие уязвимые версии xz/liblzma. Особенно это критично для дистрибутивов Linux, где библиотека входит в базовый набор. Если вы обновляли систему в период с февраля по март 2024 года — стоит проверить версию.
#### Что делать?
1. Обновите xz/liblzma до последней исправленной версии. 2. Проверьте логи SSH на подозрительную активность. 3. Пересмотрите политику цепочки поставок — даже проверенные компоненты могут быть скомпрометированы.
Комментарий студии METABYTE: Этот инцидент — отличный повод задуматься о безопасности цепочки поставок. Мы всегда рекомендуем клиентам внедрять автоматическое сканирование зависимостей и регулярно аудировать используемые библиотеки. Ваш код может быть идеальным, но если одна из зависимостей «заминирована» — вся крепость падет.