XZ Utils Backdoor

Backdoor in xz (2024) From Wikipedia, the free encyclopedia

Die XZ Utils Backdoor war eine schwerwiegende Backdoor in der Open-Source-Datenkompressionssoftware XZ Utils, die im März 2024 entdeckt wurde. Die Sicherheitslücke wurde von einem Account unter dem Namen „Jia Tan“ in die Versionen 5.6.0 und 5.6.1 der liblzma-Bibliothek eingeschleust. Sie ermöglichte es Angreifern, über eine manipulierte SSH-Authentifizierung Root-Zugriff auf betroffene Linux-Systeme zu erhalten. Die Schwachstelle wurde von dem Softwareentwickler Andres Freund aufgedeckt, der eine ungewöhnlich hohe CPU-Auslastung bei SSH-Verbindungen bemerkte.[3]

CVE-Identifikator CVE-2024-3094
Datum der Entdeckung wahrscheinlich um den
27. März 2024
Datum der Offenlegung 29. März 2024[1]
Entdecker Andres Freund[2]
Schnelle Fakten CVE-Identifikator, Datum der Entdeckung ...
XZ Utils Backdoor
CVE-Identifikator CVE-2024-3094
Datum der Entdeckung wahrscheinlich um den
27. März 2024
Datum der Offenlegung 29. März 2024[1]
Entdecker Andres Freund[2]
Betroffene Software XZ Utils, liblzma-Bibliotheken
Website tukaani.org
Schließen

Aufgrund der gravierenden Ausnutzungsmöglichkeiten bezeichnen IT-Sicherheitsexperten die Lücke einhellig als eine der „gefährlichsten und raffiniertesten Backdoors“, die je in ein Softwareprodukt eingeschleust wurden.[4][5][6] Sie wurde mit dem höchstmöglichen CVSS-Score (10.0) bewertet.[7]

Geschichte

Am 29. März 2024 teilte der Softwareentwickler Andres Freund mit, er habe eine Backdoor im Linux-Utility xz gefunden; diese befände sich in der liblzma Bibliothek, betroffen seien die Versionen 5.6.0 und 5.6.1. der Komponente, welche im Februar 2024 veröffentlicht wurden.[8]

Die Backdoor erlaubt es einem Angreifer, auf dem entsprechenden System Root-Rechte zu erlangen, wenn er über einen spezifischen Ed448 Schlüssel verfügt. Dies erlaubt eine Remote Code Execution. Der Issue hat das höchstmögliche Score im CVSS System erhalten, 10.0.[9][10][11]

Hilfsprogramm xz

Das Hilfsprogramm xz ist Teil der meisten Linuxdistributionen. Die Backdoor betrifft vermutlich nur Systeme, welche zur Paketverwaltung .deb oder .rpm und die Architektur x86-64 nutzen. Zum Zeitpunkt der Entdeckung waren die betroffenen Softwareversionen von xz (5.6.0 und 5.6.1) noch nicht weit verbreitet.[12]

Hintergrund

Andres Freund, Angestellter von Microsoft und ein Entwickler von PostgreSQL, meldete die Backdoor, welche er durch Performancemessungen in Debian Sid gefunden hatte.[13] Freund hatte festgestellt, dass SSH-Verbindungen zu einer hohen Systemlast führten, und bei Valgrind,[14] einem Tool zum Memory-Debugging, Fehler verursachten.[15] Er meldete seine Funde der Openwall Security Mailingliste.[14] Durch diese Meldung wurden verschiedene Hersteller auf das Problem aufmerksam.[15] Es gibt Hinweise, dass die Angreifer versuchten, die Funktion des Codes zu verschleiern.[16][17] Der Wirkmechanismus der Backdoor umfasst mehrere Schritte.[18]

Sobald die kompromittierte Version in ein System eingebunden wird, verändert sie das Verhalten des SSH-Daemons von OpenSSH: Systemd wird missbraucht, um dem Angreifer Root-Rechte auf dem System zu geben.[15][18] Gemäß Red Hat kann ein Hacker aus der Ferne dadurch die SSH-Authentifizierung umgehen und von Ferne unbefugten Zugriff zum System erhalten.[19]

Eine weitere Untersuchung fand heraus, dass die Kampagne, die Backdoor in das XZ Utils Paket einzubringen, etwa drei Jahre dauerte. Ein Benutzer namens Jia Tan mit dem Pseudonym JiaT75 erlangte eine Position des Vertrauens innerhalb des Projektes. Nach einiger Zeit und etwas Sockpuppetry war es ihm möglich, die Versionen 5.6.0, welche die Backdoor einführte, und die Nachfolgeversion 5.6.1 als Ko-Maintainer zu signieren.[15] Version 5.6.1 fügte weiteren Code ein. Weitere wahrscheinlich beteiligte Charaktere sind unter den Pseudonymen Jigar Kumar, krygorin4545, und misoeater91 bekannt. Es wird angenommen, dass es sich bei allen Namen, sowie beim Namen des angeblichen Autors, Hans Jensen, um Pseudonyme handelt. Die entsprechenden Personen existieren nicht außerhalb des Projekts, oder sie haben nichts mit dem Projekt zu tun.[20][21]

Auffällig waren bei der Backdoor die komplexe Ausführung und die Tatsache, dass die Hacker über weitgehende Kenntnisse in Betriebssicherheit (OPSEC) verfügten; dies war nötig, um die Vertrauensposition innerhalb des Projekts zu erreichen.

Der Name der verdächtigten Person, als auch die verwendete Zeitzone sollen laut Experten den Eindruck erwecken, es handle sich um eine Person aus China. Tatsächlich deuten Analysen allerdings darauf hin, dass die Person in der Zeitzone UTC+2 oder UTC+3 arbeitete, welche in Osteuropa bzw. Westrussland liegen. So war der verdächtigte Nutzer zum Beispiel nie an Weihnachten oder Neujahr aktiv, arbeitete aber an chinesischen Feiertagen.[22] Dave Aitel, ein amerikanischer Sicherheitsforscher, merkte an, dass das Verhaltensmuster zu APT29/Cozy Bear passe, einer Hacker-Gruppe, welche im Auftrag der russischen Regierung agiert und enge Geheimdienstverstrickungen hat.[23] Andere Personen glauben, es könne sich um einen beliebigen staatlichen oder um einen privatwirtschaftlichen Akteur mit großen Ressourcen handeln.[24]

Wirkmechanismus

Der Schadcode ist in den Versionen 5.6.0 und 5.6.1 der XZ Utils enthalten. Der Exploit wird nur aktiv, wenn er von einem spezifischen Drittquellen-Patch des SSH-Servers aktiviert wird. Unter den richtigen Voraussetzungen kann dies einem böswilligen Akteur erlauben, die Authentifizierung zu umgehen und unerlaubterweise Fernzugriff auf das System zu erhalten.[19] Der Mechanismus besteht aus zwei komprimierten Testdateien, welche binären Schadcode enthalten. Diese sind im git-Repository verfügbar, aber sie bleiben inaktiv, bis sie entpackt und ins Programm injiziert werden.[11] Der Code benutzt den IFUNC Mechanismus von glibc um die bestehende OpenSSH-Funktion RSA_public_decrypt durch eine Version mit Schadcode zu ersetzen. OpenSSH setzt im Normalfall kein liblzma ein, aber ein verbreiteter Patch führt zum Einsatz von libsystemd, welches lzma lädt.[11]

Eine modifizierte Version der Datei build-to-host.m4 war im Release auf github ebenfalls enthalten. Dieses Skript extrahiert die Testdateien und führt die Code-Injection durch. Dieses Skript war nicht im Repository, es fand sich lediglich in tar-Dateien, welche vom Maintainer separat von git released wurden.[11] Das Skript scheint die Injection nur auszuführen, wenn das Programm auf einer x86-64 Architektur gebaut wird, glibc und GCC zum Bauen verwendet wird, und der Buildprozess von dpkg oder rpm gesteuert wird.[11]

Reaktion

Patching

Die US Behörde Cybersecurity and Infrastructure Security Agency, welche für Cybersecurity und -bedrohungen zuständig ist, hat ein Advisory veröffentlicht: Dort wird empfohlen, betroffene Systeme auf eine frühere Version zurückzusetzen, welche von der Verwundbarkeit nicht betroffen ist.[25] Linuxdistributoren wie Red Hat, SUSE und Debian sind dieser Aufforderung gefolgt und haben das Update des Pakets auf ältere Versionen veranlasst.[19][26] Github deaktivierte die Spiegelung des Repositories für xz temporär.[27]

Weitergehende Diskussion

Alex Stamos, ein Informatiker, merkte an, dass dies die „weitestgehende und effektivste Backdoor“ gewesen sein könnte, welche in Software installiert wurde. Wäre sie nicht entdeckt worden, hätte sie den Programmierern einen Masterschlüssel zu allen Computern auf der Welt verschafft, welche SSH einsetzen.[28] Das Ereignis löste auch eine Diskussion darüber aus, ob kritische Teile einer Informatikinfrastruktur von unbezahlten Freiwilligen abhängen sollten.[29]

Literatur

Weblinks

Einzelnachweise

Related Articles

Wikiwand AI