--- id: CP-179 slug: tylne-drzwi-xz-utils lang: pl title: Tylne drzwi w XZ Utils description: W marcu 2024 r. w XZ Utils 5.6.0 i 5.6.1 wykryto złośliwy kod. Co mówi alert CISA i co może zrobić pracownik. canonical_url: https://startbrain.io/cyberpedia/pl/articles/tylne-drzwi-xz-utils/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/tylne-drzwi-xz-utils.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Tylne drzwi w XZ Utils”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/tylne-drzwi-xz-utils/ (CC BY 4.0) wing: 2 theme: report_incidents reflex: cr-016 schema: G4 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/tylne-drzwi-xz-utils/ fr: https://startbrain.io/cyberpedia/fr/articles/autopsie-xz-utils-backdoor/ en: https://startbrain.io/cyberpedia/en/articles/xz-utils-backdoor-autopsy/ de: https://startbrain.io/cyberpedia/de/articles/autopsie-xz-utils-hintertur/ es: https://startbrain.io/cyberpedia/es/articles/autopsia-xz-utils-puerta-trasera/ it: https://startbrain.io/cyberpedia/it/articles/autopsia-xz-utils-backdoor/ nl: https://startbrain.io/cyberpedia/nl/articles/autopsie-xz-utils-backdoor-nl/ pt: https://startbrain.io/cyberpedia/pt/articles/autopsia-xz-utils-backdoor-pt/ sources: - "n": 1 title: Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 publisher: CISA url: https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 published: "2024-03-29" accessed: "2026-11-03" - "n": 2 title: Supply Chain Compromise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/ accessed: "2026-11-03" - "n": 3 title: "Supply Chain Compromise: Compromise Software Dependencies and Development Tools" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/001/ accessed: "2026-11-03" - "n": 4 title: "Supply Chain Compromise: Compromise Software Supply Chain" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1195/002/ accessed: "2026-11-03" - "n": 5 title: Modify Authentication Process publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1556/ accessed: "2026-11-03" - "n": 6 title: Trusted Relationship publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" --- # Tylne drzwi w XZ Utils Pod koniec marca 2024 r. CISA poinformowała, że reaguje na zgłoszenia dotyczące złośliwego kodu wbudowanego w XZ Utils, program do kompresji danych. Dotyczy to wersji 5.6.0 i 5.6.1, a sprawa otrzymała identyfikator CVE-2024-3094 [1]. Dla pracownika ten rodzaj incydentu ma jedną cechę szczególną: nie pochodzi z podejrzanej wiadomości ani z fałszywej strony. Trafia do komputera z legalnym oprogramowaniem, instalowanym lub aktualizowanym jak zwykle. Ta karta opisuje, co opublikowała CISA i co o tej rodzinie ataków mówią opracowania MITRE ATT&CK. Nie podaje szczegółów przygotowania ataku ani jego wykrycia: cytowane tu źródła ich nie zawierają. ## W 30 sekund - Gdzie to się zdarza: w XZ Utils, programie do kompresji danych, który może znajdować się w dystrybucjach Linuksa [1]. - Co może umożliwić złośliwy kod: według CISA nieautoryzowany dostęp do dotkniętych systemów [1]. - Odruch: szybko zgłosić zespołowi IT lub bezpieczeństwa każde nietypowe zachowanie systemu i pozostawić zespołom technicznym stosowanie oficjalnych zaleceń. - Jeśli to już się stało: CISA zaleca powrót do wersji niezakompromitowanej, na przykład XZ Utils 5.4.6 Stable, poszukiwanie wszelkiej złośliwej aktywności i zgłaszanie ustaleń [1]. ## Pytania wprost ### Czym jest XZ Utils? To program do kompresji danych. Może znajdować się w dystrybucjach Linuksa [1]. ### Które wersje są dotknięte problemem? Wersje 5.6.0 i 5.6.1, w których zgłoszono złośliwy kod [1]. Ta aktywność nosi identyfikator CVE-2024-3094 [1]. ### Co umożliwia złośliwy kod? Według CISA może umożliwiać nieautoryzowany dostęp do dotkniętych systemów [1]. ### Czym jest kompromitacja łańcucha dostaw? MITRE ATT&CK definiuje ją jako manipulowanie produktami lub sposobami ich dostarczania, zanim trafią do końcowego odbiorcy, w celu naruszenia danych lub systemów [2]. ### Co powinien zrobić pracownik? Jeśli komputer zachowuje się nietypowo, należy szybko to zgłosić. CISA ze swojej strony prosi programistów i użytkowników o powrót do wersji niezakompromitowanej i zgłaszanie tego, co znajdą [1]. Na stanowisku zarządzanym przez firmę takie wycofanie wersji należy do zespołów technicznych. ## W skórze atakującego Cytowane tu źródła nie opisują przygotowania tego ataku. Opisana jest natomiast ogólna logika rodziny, do której należy. MITRE ATT&CK zalicza kompromitację łańcucha dostaw do technik uzyskania początkowego dostępu. Może do niej dojść na dowolnym etapie: w narzędziach programistycznych, repozytoriach kodu źródłowego, kodzie zależności open source, mechanizmach aktualizacji albo przez zastąpienie legalnego oprogramowania zmodyfikowaną wersją [2]. Projekty open source, z których jako zależności korzysta wiele aplikacji, mogą stać się celem, aby złośliwy kod trafił do wszystkich ich użytkowników [2][3]. Atakujący może obrać za cel ściśle określony zbiór ofiar albo rozpowszechnić oprogramowanie szeroko i działać dalej tylko wobec niektórych ofiar [2][4]. MITRE opisuje też relację zaufania: podmioty, które mają już legalny dostęp, na przykład zewnętrzni wykonawcy, mogą posłużyć jako punkt wejścia, ponieważ taki dostęp bywa mniej uważnie sprawdzany niż zwykłe drogi wejścia [6]. ## Co widać na ekranie CISA nie opisuje żadnego znaku widocznego dla użytkownika [1]. Przeczytany tekst nie mówi więc, jak aktualizacja wygląda z perspektywy pracownika, i ta karta niczego na ten temat nie twierdzi. To, co pozwala napisać źródło, jest bardziej ograniczone: XZ Utils może znajdować się w dystrybucjach Linuksa [1]. ## Pod maską To, co CISA mówi o mechanizmie, zamyka się w kilku słowach: złośliwy kod jest wbudowany w wersje 5.6.0 i 5.6.1 i może umożliwiać nieautoryzowany dostęp [1]. MITRE ATT&CK umieszcza tego rodzaju działanie w dwóch rodzinach technik: - Kompromitacja łańcucha dostaw oprogramowania: manipulowanie kodem źródłowym aplikacji, jej mechanizmem aktualizacji lub dystrybucji albo zastąpienie skompilowanych wersji wersją zmodyfikowaną [4]. - Modyfikacja procesu uwierzytelniania: atakujący może zmienić mechanizmy, które zbierają, przechowują i weryfikują dane uwierzytelniające, na przykład wtykowe moduły uwierzytelniania (PAM) w systemach uniksopodobnych. Może wtedy uwierzytelnić się w usłudze bez użycia ważnego konta [5]. Te dwie strony to ogólne opracowania. Nie wspominają o XZ Utils, a nic w cytowanych tu źródłach nie wiąże tego incydentu z konkretną techniką. To zestawienie jest tu podane jako sposób odczytania sprawy, a nie jako ustalenie. ## Analizy incydentów ### 29 marca 2024 r.: alert CISA dotyczący XZ Utils 29 marca 2024 r. CISA opublikowała alert zatytułowany „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”. Wskazuje w nim, że CISA i społeczność open source reagują na zgłoszenia złośliwego kodu wbudowanego w XZ Utils w wersjach 5.6.0 i 5.6.1 [1]. Tekst przypomina, że XZ Utils to program do kompresji danych, że może znajdować się w dystrybucjach Linuksa i że złośliwy kod może umożliwiać nieautoryzowany dostęp do dotkniętych systemów [1]. CISA zaleca programistom i użytkownikom obniżenie wersji XZ Utils do wersji niezakompromitowanej, na przykład XZ Utils 5.4.6 Stable, poszukiwanie wszelkiej złośliwej aktywności i zgłaszanie CISA każdego pozytywnego wyniku [1]. Alert odsyła też do komunikatu Red Hat dotyczącego Fedory 41 i Rawhide [1]. Cytowane tu źródła nie zawierają ani chronologii przygotowania ataku, ani nazwisk osób zaangażowanych, ani okoliczności wykrycia. Dlatego tych elementów nie ma w tej karcie. ## Źródła 1. CISA, „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”, 29 marca 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Supply Chain Compromise”. https://attack.mitre.org/techniques/T1195/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Dependencies and Development Tools”. https://attack.mitre.org/techniques/T1195/001/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Supply Chain”. https://attack.mitre.org/techniques/T1195/002/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Modify Authentication Process”. https://attack.mitre.org/techniques/T1556/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Trusted Relationship”. https://attack.mitre.org/techniques/T1199/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/tylne-drzwi-xz-utils/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.