圧縮ツール「XZ Utils」に不正なコード埋め込み、サーバーにバックドアの恐れ

主なLinuxディストリビューション(RHEL派生のCentOS 7・Rocky Linux・Almalinux、あるいはDebian・Ubuntu、等)の安定版で提供されるXZ Utilsのパッケージは、不正なコードが仕込まれる前のバージョン(5.4.5以前)を使用しており、影響を受けないとのことです。

ただし、前述したディストリビューションでも開発版(Fedora・Rawhide、あるいはDebian testing・unstable)の場合には、一時的にバージョン5.6.0/5.6.1が入り、不正なコードの影響を受ける可能性があったとされています(現在は前のバージョンにダウングレードする等の対策が行われています)。

XZ Utilsの開発に2021年から参加した開発者の一人が、テスト用ファイルに偽装する等して悪意のあるコードを巧妙に仕掛けた「サプライチェーン攻撃」の一種とされており、Microsoftに在籍する開発者がサーバーで発生した不審な挙動等からたまたま問題を発見したとのことです。

発見が遅れていたら、安定版においても問題のあるバージョンが採用されていた恐れがあったとされており、不正なコードがOS上にどんな影響を及ぼしていたかについて今後も分析が進められること等が考えられ、引き続き動向が注目されるところです。

3月22日に実施されたセキュリティ調査により、2020年1月5日以降サーバーのアクセス権限設定の誤りで閲覧可能状態にあったこと、2023年12月28日～29日にダウンロードが発生していたことが発覚したとのことです。

個人情報のみならずマイナカード等の画像と、極めてセンシティブな情報が流出しており、現時点で二次被害は確認されていないとするものの、なりすまし・詐欺行為への悪用が懸念されます。

今や企業のシステムや機密情報の保持等においてもクラウドの利用は一般的なものとなっており、クラウドであっても(企業ネットワーク内でサーバーを運営する)オンプレミスであっても、それぞれに必要なアクセス管理設定を確実に行うこと、不要となった機密情報については速やかに破棄すること、これらの設定や情報管理・破棄体制について診断や監査を受けることが重要です。