🇰🇷 한글 설명
xz 압축 라이브러리의 업스트림 tarball(5.6.0 버전부터)에 악성 코드가 발견되었습니다. 복잡한 난독화 과정을 통해 소스 코드 내 위장된 테스트 파일에서 사전 빌드된 객체 파일이 추출되어 liblzma의 특정 함수를 변조하며, 이 라이브러리를 링크한 모든 소프트웨어의 데이터 처리를 가로챌 수 있습니다.
💡 쉬운 설명
많이 쓰이는 압축 도구의 핵심 부품이 몰래 변조되었습니다. 이 부품을 사용하는 프로그램은 공격자가 데이터를 엿보거나 조작할 수 있게 됩니다.
🇺🇸 원문 (English)
Malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0.
Through a series of complex obfuscations, the liblzma build process extracts a prebuilt object file from a disguised test file existing in the source code, which is then used to modify specific functions in the liblzma code. This results in a modified liblzma library that can be used by any software linked against this library, intercepting and modifying the data interaction with this library.
📍 영향받는 시스템
xz/liblzma 5.6.0 및 5.6.1 버전이 설치된 리눅스 배포판 (예: 일부 Fedora, Debian 테스트 및 불안정 버전)
⚔️ 공격 벡터
변조된 liblzma를 링크한 sshd 등 프로그램의 인증 과정을 가로채 원격에서 무단 접근을 획득
🛡️ 대응 방법
xz/liblzma를 5.6.2 이상 또는 취약하지 않은 이전 안정 버전으로 다운그레이드하고 시스템 패키지를 최신 상태로 업데이트
🔧 검증 코드
출력된 버전이 5.6.0 또는 5.6.1이면 취약하므로 즉시 업데이트가 필요하며, 5.6.2 이상이거나 해당 버전이 아니면 영향을 받지 않습니다.
xz --version 2>/dev/null | head -n1