Rustの圧縮ライブラリ「liblzma-sys」にxzの悪意あるコードが混入
マイナビニュース2024年4月16日(火)9時57分
Phylumは4月11日(米国時間)、「Rust crate shipping xz backdoor」において、プログラミング言語Rustのパッケージリポジトリ「crates.io」から配布されている圧縮ライブラリ「liblzma-sys」に、xzの悪意あるコードが混入されたと報じた。このライブラリの高レベル実装にあたる「liblzma」の一部バージョンも間接的に影響を受けたとみられる。
xzの悪意あるコードは「緊急警告、圧縮ツールxzにsshdを介した不正アクセスの可能性 - 利用の中止を | TECH+(テックプラス)」から確認することができる。
○悪意あるコードの影響を受ける製品
xzの悪意あるコードの影響を受けたとされる製品およびバージョンは次のとおり。
liblzma-sys バージョン0.3.2
liblzma バージョン0.3.0
○不具合が修正された製品
xzの悪意あるコードを削除した製品およびバージョンは次のとおり。
liblzma-sys バージョン0.3.3
liblzma バージョン0.3.1
○影響と対策
2024年4月5日に公開されたliblzma-sys バージョン0.3.2にxzの悪意あるコードが混入した。この悪意あるコードはxzの特定のビルドファイルによってビルドプロセス時に展開され、ライブラリに挿入される仕組みとなっている。GitHubから配布されたxzのソースコードにはこのビルドファイルが含まれていないため、Rustのliblzma-sysは感染しないとみられている。
しかしながら、悪意のあるコードが存在していることに変わりはなく、Phylumは将来の攻撃にて悪用される可能性があるとして注意を促している。これまでに影響を受けたバージョンのliblzma 0.3.1は5,500回以上、liblzma-sys 0.3.2は1,100回以上ダウンロードされたとみられている。
Rustを使用する開発者には開発環境にこれらライブラリが存在しないかどうかを確認し、存在する場合は速やかに削除またはアップデートすることが推奨されている。
xzの悪意あるコードは「緊急警告、圧縮ツールxzにsshdを介した不正アクセスの可能性 - 利用の中止を | TECH+(テックプラス)」から確認することができる。
○悪意あるコードの影響を受ける製品
xzの悪意あるコードの影響を受けたとされる製品およびバージョンは次のとおり。
liblzma-sys バージョン0.3.2
liblzma バージョン0.3.0
○不具合が修正された製品
xzの悪意あるコードを削除した製品およびバージョンは次のとおり。
liblzma-sys バージョン0.3.3
liblzma バージョン0.3.1
○影響と対策
2024年4月5日に公開されたliblzma-sys バージョン0.3.2にxzの悪意あるコードが混入した。この悪意あるコードはxzの特定のビルドファイルによってビルドプロセス時に展開され、ライブラリに挿入される仕組みとなっている。GitHubから配布されたxzのソースコードにはこのビルドファイルが含まれていないため、Rustのliblzma-sysは感染しないとみられている。
しかしながら、悪意のあるコードが存在していることに変わりはなく、Phylumは将来の攻撃にて悪用される可能性があるとして注意を促している。これまでに影響を受けたバージョンのliblzma 0.3.1は5,500回以上、liblzma-sys 0.3.2は1,100回以上ダウンロードされたとみられている。
Rustを使用する開発者には開発環境にこれらライブラリが存在しないかどうかを確認し、存在する場合は速やかに削除またはアップデートすることが推奨されている。
「ライブ」をもっと詳しく
「ライブ」のニュース
-
『CDTV』Mrs. GREEN APPLEは話題の映画主題歌「Dear」を初歌唱!5月20日21時0分
-
『CDTVライブ!ライブ!』にNumber_i、Mrs. GREEN APPLE、IMP.ら出演5月20日21時0分
-
Number_i・IMP.・M!LKら「CDTVライブ!ライブ!」2時間SP、出演アーティスト&楽曲発表5月20日21時0分
-
『CDTVライブ!』次回出演者10組&歌唱曲発表 Number_i、ミセスは新曲フルでTV初披露5月20日21時0分
-
“45歳差婚”加藤綾菜、夫・加藤茶とTM NETWORKのライブへ「すごい交友関係」「カトちゃんすごく元気そう」と反響5月20日19時23分
-
7/6(土)・7(日)北海道ボールパークFビレッジが舞台の初の野外ライブイベント《GOOD WIND MUSIC》追加アーティスト発表!5月20日18時46分
-
一葉式いけ花教授・桃葉 浅草 COFFEE BAR 桟敷 いけ花ライブパフォーマンス&ワークショップと店内作品展示企画 開催決定5月20日18時16分
-
Hana Hope 5/29リリースのSG「旅のゆくえ」リリース記念 インスタ配信ライブの実施決定!5月20日18時16分
-
RYTHEM、デビュー20周年記念ライブの音源配信スタート!5月20日18時16分
-
野外イベント「GOOD DAY PARK!」横浜5/25-26、前夜祭も5月20日18時15分