XZ バックドア: ほとんど壊滅的な攻撃とその予期せぬ共犯者の正体を明らかにする | by ニュースプロ | 2024年4月

最近の発見は、 裏口 広く使用されている XZ Utils ライブラリに組み込まれていたこの脆弱性は、サイバーセキュリティの世界に衝撃を与えました。 襲撃の首謀者である一方、「ジア・タン」という記事が見出しのほとんどを占めたが、重大な疑問が残る：この大惨事寸前に知らず知らずのうちに関与した者が他にいたのだろうか？

オープンソース ソフトウェアは、コラボレーションと信頼の繊細なダンスによって成長します。 世界中の開発者がコードを提供し、変更をレビューし、最終的にどの更新を統合するかを決定します。 このシステムは前例のないペースでイノベーションを促進してきましたが、同時に脆弱性も生み出します。 XZ Utils の場合、「Jia Tan」は次の方法でオープンソースの基盤そのものを悪用しました。

正当性のファサードを構築する: 時間が経つにつれて、「Jia Tan」は貴重な貢献者としてのペルソナを細心の注意を払って作り上げました。 彼らは正当なコード貢献を行い、ディスカッションに参加し、XZ 開発コミュニティとの信頼を着実に築き上げました。 この表面は彼らの真の動機を覆い隠し、彼らがプロジェクト内で足場を築くのを可能にしました。

アクセスの活用: 信頼できる開発者に与えられる特権であるコミット アクセスが付与されると、「Jia Tan」にはバックドアを導入する権限が与えられました。 悪意のあるコードは、一見無害に見えるテスト ファイル内に巧妙に隠蔽されていたため、標準的なレビュー プロセスでの検出が困難でした。

意図しない支援の全容は依然として不明ですが、いくつかのグループが無意識のうちに、ほぼ成功したこの攻撃に関与した可能性があります。

XZ開発者: コードコミットのレビューと承認を担当する開発者は、特に巧妙に偽装されていた場合には、バックドアを見逃した可能性があります。 レビューされるコードの膨大な量や手動レビュー プロセスの制限により、「Jia Tan」が悪意のあるコードをすり抜ける隙ができてしまった可能性があります。

自動レビューツール: コード レビュー ツールは、オープンソース セキュリティ兵器の貴重な部分ですが、絶対確実というわけではありません。 これらのツールは、攻撃者の先を行くために絶えず進化する検出方法に依存しています。 この場合、バックドアは既存の自動チェックを回避できるほど高度に洗練されていた可能性があります。

ディストリビューションのメンテナー: XZ Utils をさまざまな Linux ディストリビューションに統合する責任者は、独自のテスト手順を用意している可能性があります。 ただし、これらの複雑な脆弱性により、 続きを読む ニュースプロ