Red Hat đã gắn mã theo dõi cho lỗ hổng đặc biệt nghiêm trọng này là CVE-2024-3094 (điểm CVSS: 10). Lỗ hổng gây ảnh hưởng đến các phiên bản XZ Utils 5.6.0 (phát hành ngày 24/02/2024) và 5.6.1 (phát hành ngày 9/3/2024). Đây là hình thức tấn công chuỗi cung ứng khá nguy hiểm và hiện chưa có thông tin về bản vá cập nhật.

Hình 1. Mô tả và đánh giá mức độ nguy hiểm của lỗ hổng CVE-2024-3094

Nhà nghiên cứu bảo mật của Microsoft, ông Andres Freund được ghi nhận là người đã phát hiện và báo cáo lỗ hổng này sau khi phân tích các lần đăng nhập SSH trên hệ điều hành Debian Sid (phiên bản phát triển cập nhật của bản phân phối Debian). Tuy nhiên, Freund vẫn chưa tìm ra mục đích chính xác của mã độc được nhúng vào phiên bản XZ 5.6.0 và 5.6.1.

Ban đầu, việc khởi động sshd bên ngoài hệ thống không cho thấy tình trạng chậm, mặc dù backdoor được kích hoạt trong thời gian ngắn. Điều này là một trong số biện pháp đối phó của tin tặc khiến việc phân tích trở nên khó khăn hơn.

Mã độc bị xáo trộn và được tìm thấy trong gói tải xuống của các phiên bản XZ trên, sau đó kích hoạt quá trình xây dựng backdoor. Các nhà nghiên cứu cho biết, kẻ tấn công đã chèn mã độc được thiết kế đặc biệt để can thiệp vào tiến trình daemon sshd dành cho SSH thông qua systemd. Từ đó có thể phá vỡ xác thực sshd và giành quyền truy cập trái phép vào hệ thống từ xa mà không cần xác thực.

Hình 2. Github hiện đã vô hiệu hóa kho lưu trữ XZ Utils

Github đã vô hiệu hóa kho lưu trữ XZ Utils với lí do “Vi phạm điều khoản dịch vụ”. Hiện nay, vẫn chưa có báo cáo cụ thể về việc khai thác lỗ hổng CVE-2024-3094 trong thực tế.

Do chưa có bản vá chính thức, nên các chuyên gia bảo mật khuyến nghị quản trị viên và người dùng cần quay trở lại sử dụng phiên bản XZ 5.4.6 cho đến khi bản cập nhật được phát hành, đồng thời kiểm tra lại bảo mật hệ thống.