본문 바로가기
Q&A2024년 3월 5일1분 읽기

XZ Utils 백도어 사건 (CVE-2024-3094)

윤
윤재혁
조회 1260댓글 1

2024년 3월에 터진 XZ Utils 백도어 사건이 뭔가요? 얼마나 심각한 건가요?

이전 글
Next.js 14 Server Actions 사용법
다음 글
Tailwind CSS v4 변경사항

댓글 1

김김영삼2년 전

2024년 최대 보안 사건 중 하나입니다.

사건 요약:

  • 리눅스 압축 라이브러리 XZ Utils(xz/liblzma)에 백도어 삽입
  • "Jia Tan"이라는 개발자가 2년간 신뢰를 쌓은 후 백도어 커밋
  • sshd가 liblzma를 통해 로드되면서 원격 코드 실행 가능
  • Andres Freund가 SSH 성능 저하를 조사하다 우연히 발견

영향:

  • XZ 5.6.0, 5.6.1 버전에 포함
  • Fedora 40/41, Debian testing/unstable에 진입
  • 안정 버전(Ubuntu LTS 등)에는 미포함 → 대규모 피해 방지

교훈:

  • 오픈소스 공급망 공격의 위험성
  • 핵심 인프라가 소수 메인테이너에 의존하는 문제
  • 코드 리뷰만으로는 정교한 공격을 탐지하기 어려움
Ctrl+Enter로 등록