緊急警告、圧縮ツールxzにsshdを介した不正アクセスの可能性 - 利用の中止を

Red Hatは3月29日(米国時間)、「Urgent security alert for Fedora 41 and Fedora Rawhide users」において、圧縮ツールおよびライブラリーの「xz」から悪意のあるコードを発見したとして、注意を喚起した。このコードの影響を受けるライブラリ「liblzma」により、攻撃者はsshdを介してシステムに不正アクセスする可能性がある。 Urgent security alert for Fedora 41 and Fedora Rawhide users xzが抱える脆弱性の概要 発見された悪意のあるコードは脆弱性「CVE-2024-3094」として追跡されている。この脆弱性の影響を受けるバージョンは次のとおり。 xz バージョン5.6.0または5.6.1 脆弱性(CVE)の情報は次のとおり。 CVE-2024-3094 - XZ Ut

[prozorec]

「systemd以外から起動した場合は速度の低下など、悪意のある処理による影響が発生しない」は本当か？発見者は"env -i LANG=C /usr/sbin/sshd -h"でも0.5秒遅くなると言っている

[JULY]

FUD な記事。RHEL や stable な Debian など、稼働している多くの Linux で影響がないことを、どうして書かない？ 書いたのが後藤大地氏だから、同じ論調の記事を多く見かける事になりそう。