XZ-Backdoor: CVE-2024-3094 in XZ Utils
Schadcode in den Upstream-Tarballs von XZ Utils 5.6.0 und 5.6.1, der liblzma verändert.
In der NVD veröffentlicht am 29.03.2024
CVE-2024-3094
Nicht im CISA-Katalog aktiv ausgenutzter Lücken
Ausnutzungswahrscheinlichkeit (EPSS, 01.11.2026): 90,900 %, Perzentil 99,806
Was ist XZ Backdoor?
Die XZ-Backdoor ist Schadcode in den Upstream-Tarballs von XZ Utils ab Version 5.6.0. Über eine Reihe verschleierter Schritte entpackt der Build von liblzma eine vorkompilierte Objektdatei aus einer getarnten Testdatei und verändert damit Funktionen in liblzma. Jedes Programm, das gegen diese Bibliothek gelinkt ist, kann dann Daten abgefangen und verändert bekommen.
Die NVD bewertet sie mit CVSS 10.0 und führt die Versionen 5.6.0 und 5.6.1. Laut Debian Security Tracker enthielt Debian 12 den Code nie. CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Lücken.
Betroffene und behobene Versionen
XZ Utils
Betroffen: 5.6.0, 5.6.1
Keine behobene Version in den NVD-Daten
Stand in Debian und Ubuntu
Debian 12: xz-utils
Debian 13: xz-utils
Behoben ab Paketversion 5.6.1+really5.4.5-1
Ubuntu 20.04 LTS: xz-utils
Behoben ab Paketversion 5.2.4-1ubuntu1.1
Ubuntu 22.04 LTS: xz-utils
Behoben ab Paketversion 5.2.5-2ubuntu1
Ubuntu 24.04 LTS: xz-utils
Behoben ab Paketversion 5.4.5-0.3
Was tun?
Prüf die installierte Version mit xz --version. Meldet sie 5.6.0 oder 5.6.1, spiel sofort das Update deiner Distribution ein.
Erseni Patch meldet dir, wenn eine neue Lücke genau deine Version betrifft und wenn dein Release-Zweig keinen Support mehr bekommt. Trag das Programm oder Paket mit deiner Version ein, dann prüfen wir sie sofort.
Du hast schon ein Konto? Anmelden und xz-utils (Debian 13) eintragen
Quellen
Angaben am 02.11.2026 gegen NVD, CISA KEV, FIRST EPSS, den Debian Security Tracker und OSV geprüft.
Weitere bekannte Lücken
- PHP2Shell (CVE-2026-109618, CVE-2026-109619)
- Log4Shell (CVE-2021-44228)
- regreSSHion (CVE-2024-6387)
- Heartbleed (CVE-2014-0160)
- Shellshock (CVE-2014-6271)