Cyberpediaod Brain
PLDEENESFRITNLPT

Tylne drzwi w XZ Utils

W marcu 2024 r. w XZ Utils 5.6.0 i 5.6.1 wykryto złośliwy kod. Co mówi alert CISA i co może zrobić pracownik.

W 30 sekund

Gdzie to się zdarza
W XZ Utils, programie do kompresji danych, który może znajdować się w dystrybucjach Linuksa1.
Co może umożliwić złośliwy kod
Według CISA nieautoryzowany dostęp do dotkniętych systemów1.
Odruch
Szybko zgłosić zespołowi IT lub bezpieczeństwa każde nietypowe zachowanie systemu i pozostawić zespołom technicznym stosowanie oficjalnych zaleceń.
Jeśli to już się stało
CISA zaleca powrót do wersji niezakompromitowanej, na przykład XZ Utils 5.4.6 Stable, poszukiwanie wszelkiej złośliwej aktywności i zgłaszanie ustaleń1.

O co chodzi

Pod koniec marca 2024 r. CISA poinformowała, że reaguje na zgłoszenia dotyczące złośliwego kodu wbudowanego w XZ Utils, program do kompresji danych. Dotyczy to wersji 5.6.0 i 5.6.1, a sprawa otrzymała identyfikator CVE-2024-30941.

Dla pracownika ten rodzaj incydentu ma jedną cechę szczególną: nie pochodzi z podejrzanej wiadomości ani z fałszywej strony. Trafia do komputera z legalnym oprogramowaniem, instalowanym lub aktualizowanym jak zwykle. Ta karta opisuje, co opublikowała CISA i co o tej rodzinie ataków mówią opracowania MITRE ATT&CK. Nie podaje szczegółów przygotowania ataku ani jego wykrycia: cytowane tu źródła ich nie zawierają.

Pytania wprost

Czym jest XZ Utils?

To program do kompresji danych. Może znajdować się w dystrybucjach Linuksa1.

Które wersje są dotknięte problemem?

Wersje 5.6.0 i 5.6.1, w których zgłoszono złośliwy kod1. Ta aktywność nosi identyfikator CVE-2024-30941.

Co umożliwia złośliwy kod?

Według CISA może umożliwiać nieautoryzowany dostęp do dotkniętych systemów1.

Czym jest kompromitacja łańcucha dostaw?

MITRE ATT&CK definiuje ją jako manipulowanie produktami lub sposobami ich dostarczania, zanim trafią do końcowego odbiorcy, w celu naruszenia danych lub systemów2.

Co powinien zrobić pracownik?

Jeśli komputer zachowuje się nietypowo, należy szybko to zgłosić. CISA ze swojej strony prosi programistów i użytkowników o powrót do wersji niezakompromitowanej i zgłaszanie tego, co znajdą1. Na stanowisku zarządzanym przez firmę takie wycofanie wersji należy do zespołów technicznych.

1W skórze atakującego1 min

Cytowane tu źródła nie opisują przygotowania tego ataku. Opisana jest natomiast ogólna logika rodziny, do której należy.

MITRE ATT&CK zalicza kompromitację łańcucha dostaw do technik uzyskania początkowego dostępu. Może do niej dojść na dowolnym etapie: w narzędziach programistycznych, repozytoriach kodu źródłowego, kodzie zależności open source, mechanizmach aktualizacji albo przez zastąpienie legalnego oprogramowania zmodyfikowaną wersją2.

Projekty open source, z których jako zależności korzysta wiele aplikacji, mogą stać się celem, aby złośliwy kod trafił do wszystkich ich użytkowników23. Atakujący może obrać za cel ściśle określony zbiór ofiar albo rozpowszechnić oprogramowanie szeroko i działać dalej tylko wobec niektórych ofiar24.

MITRE opisuje też relację zaufania: podmioty, które mają już legalny dostęp, na przykład zewnętrzni wykonawcy, mogą posłużyć jako punkt wejścia, ponieważ taki dostęp bywa mniej uważnie sprawdzany niż zwykłe drogi wejścia6.

2Co widać na ekranie1 min

CISA nie opisuje żadnego znaku widocznego dla użytkownika1. Przeczytany tekst nie mówi więc, jak aktualizacja wygląda z perspektywy pracownika, i ta karta niczego na ten temat nie twierdzi.

To, co pozwala napisać źródło, jest bardziej ograniczone: XZ Utils może znajdować się w dystrybucjach Linuksa1.

3Pod maskąZespoły IT1 min

To, co CISA mówi o mechanizmie, zamyka się w kilku słowach: złośliwy kod jest wbudowany w wersje 5.6.0 i 5.6.1 i może umożliwiać nieautoryzowany dostęp1.

MITRE ATT&CK umieszcza tego rodzaju działanie w dwóch rodzinach technik:

  • Kompromitacja łańcucha dostaw oprogramowania: manipulowanie kodem źródłowym aplikacji, jej mechanizmem aktualizacji lub dystrybucji albo zastąpienie skompilowanych wersji wersją zmodyfikowaną4.
  • Modyfikacja procesu uwierzytelniania: atakujący może zmienić mechanizmy, które zbierają, przechowują i weryfikują dane uwierzytelniające, na przykład wtykowe moduły uwierzytelniania (PAM) w systemach uniksopodobnych. Może wtedy uwierzytelnić się w usłudze bez użycia ważnego konta5.

Te dwie strony to ogólne opracowania. Nie wspominają o XZ Utils, a nic w cytowanych tu źródłach nie wiąże tego incydentu z konkretną techniką. To zestawienie jest tu podane jako sposób odczytania sprawy, a nie jako ustalenie.

4Analizy incydentówPrawdziwe przypadki1 min

29 marca 2024 r.: alert CISA dotyczący XZ Utils

29 marca 2024 r. CISA opublikowała alert zatytułowany „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”. Wskazuje w nim, że CISA i społeczność open source reagują na zgłoszenia złośliwego kodu wbudowanego w XZ Utils w wersjach 5.6.0 i 5.6.11.

Tekst przypomina, że XZ Utils to program do kompresji danych, że może znajdować się w dystrybucjach Linuksa i że złośliwy kod może umożliwiać nieautoryzowany dostęp do dotkniętych systemów1.

CISA zaleca programistom i użytkownikom obniżenie wersji XZ Utils do wersji niezakompromitowanej, na przykład XZ Utils 5.4.6 Stable, poszukiwanie wszelkiej złośliwej aktywności i zgłaszanie CISA każdego pozytywnego wyniku1. Alert odsyła też do komunikatu Red Hat dotyczącego Fedory 41 i Rawhide1.

Cytowane tu źródła nie zawierają ani chronologii przygotowania ataku, ani nazwisk osób zaangażowanych, ani okoliczności wykrycia. Dlatego tych elementów nie ma w tej karcie.

Karta

Identyfikator
CP-179
Skrzydło
2. Złośliwe oprogramowanie i analizy incydentów
Kompetencja Brain
Zgłaszać incydenty (report_incidents)
Odruch Brain
cr-016
Schemat
G4 · Oś czasu incydentu (analiza)
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 6
ŹródłaŹródła: 6
  1. CISA, „Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094”, 29 marca 2024. https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094 (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Supply Chain Compromise”. https://attack.mitre.org/techniques/T1195/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Dependencies and Development Tools”. https://attack.mitre.org/techniques/T1195/001/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Supply Chain Compromise: Compromise Software Supply Chain”. https://attack.mitre.org/techniques/T1195/002/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Modify Authentication Process”. https://attack.mitre.org/techniques/T1556/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Trusted Relationship”. https://attack.mitre.org/techniques/T1199/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Tylne drzwi w XZ Utils”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/tylne-drzwi-xz-utils/

BibTeX 
@misc{brain_cp179_pl_2026,
  author = {Brain},
  title = {Tylne drzwi w XZ Utils},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/tylne-drzwi-xz-utils/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0