Malicious code was discovered in the upstream tarballs of xz · CVE-2024-3094

[Simon Legner]

Hi, verwendet eh niemand `xz`, oder?

CVE-2024-3094 mit severity 10.0 – Betroffen sind zum Glück wohl nur Debian unstable, Arch Linux, Fedora Rawhide, Kali Linux. Nicht betroffen RHEL, SUSE Linux Enterprise, Amazon Linux.

NVD - CVE-2024-3094 (nist.gov)

Malicious code was discovered in the upstream tarballs of... · CVE-2024-3094 · GitHub Advisory Database · GitHub

XZ Utils #Supply chain attack - Wikipedia

Everything I know about the XZ backdoor (boehs.org)

[Richard Weinberger]

Am Samstag, 30. März 2024, 10:41:38 CET schrieb Simon Legner:
> Hi, verwendet eh niemand `xz`, oder?
>
> CVE-2024-3094 mit severity 10.0 – Betroffen sind zum Glück wohl nur Debian
> unstable, Arch Linux, Fedora Rawhide, Kali Linux. Nicht betroffen RHEL,
> SUSE Linux Enterprise, Amazon Linux.

Achtung, OpenSUSE Tumbleweed ist auch betroffen:
https://news.opensuse.org/2024/03/29/xz-backdoor/

LG,
//richard

--
​​​​​sigma star gmbh | Eduard-Bodem-Gasse 6, 6020 Innsbruck, AUT
UID/VAT Nr: ATU 66964118 | FN: 374287y

[rob...@penz.name]

Hi,

Alpine ist glaub ich das wahrscheinlichste was jemand produktiv laufen hat das betroffen ist.

--
Tipp: Stammtischkalender (Google-Kalender) "linuxuser...@gmail.com"
in die eigene Terminverwaltung einbinden. Siehe: http://www.lugt.at/p/stammtisch.html
---
Sie erhalten diese Nachricht, weil Sie Mitglied der Google Groups-Gruppe "Linux User Group Tirol" sind.
Wenn Sie sich von dieser Gruppe abmelden und keine E-Mails mehr von dieser Gruppe erhalten möchten, senden Sie eine E-Mail an linuxusergroupt...@googlegroups.com.
Besuchen Sie https://groups.google.com/d/msgid/linuxusergrouptirol/2779674.MsWZr2WtbB%40somecomputer, um diese Diskussion im Web anzuzeigen.

[Richard Weinberger]

Am Samstag, 30. März 2024, 11:33:27 CET schrieb rob...@penz.name:
> Alpine ist glaub ich das wahrscheinlichste was jemand produktiv laufen hat das betroffen ist.

Bei Alpine wird einem vermutlich die musl retten, das Backdoor scheint nur für glibc gebaut zu sein.

[Christoph Lechleitner]

Am 30.03.24 um 10:41 schrieb Simon Legner:

> Hi, verwendet eh niemand `xz`, oder?
>
> CVE-2024-3094 mit severity 10.0 – Betroffen sind zum Glück wohl nur Debian unstable, Arch Linux, Fedora Rawhide, Kali Linux. Nicht betroffen RHEL, SUSE Linux Enterprise, Amazon Linux.

xz für initramfs (und Abdrehen des initramfs-backups und teils Löschen alter initramfs inkl. der laufenden Version) war auf manchen unserer Rechner der einzige Weg zu kleine /boot-Paritionen (von älteren Installationen) noch ohne Umpartitionierung nach Debian 12 zu retten, gefühlt 10-mal so lang komprimieren dafür gefühlt halbe Größe, seufz.

Direkt betroffen ist bei Debian nur unstable, aber es wird gerade diskutiert ob evtl. vieles bis alles neu gebaut und/oder geprüft werden muss, und das anstehende point-Release ist erstmal aufgeschoben.

lg Christoph