CVE-2024-3094

criticalPriorität · handeln · 82EPSS 0.909 · 100. PerzentilExploit · PoCDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

84 exploits · PoC

Likely / severe?

90.9% (100th) EPSS

CVSS 10 · critical

Is it mine?

24 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

Malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. Through a series of complex obfuscations, the liblzma build process extracts a prebuilt object file from a disguised test file existing in the source code, which is then used to modify specific functions in the liblzma code. This results in a modified liblzma library that can be used by any software linked against this library, intercepting and modifying the data interaction with this library.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

10.0

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.110criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 6

v3.110criticalAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.110criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hsecondary · ENISA EU

v3.110criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hsecondary · secalert@redhat.com USAusnutzbarkeit 3.9 · Auswirkung 6

v3.110criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H/E:Hsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-506USCWE-506US

Exploits (84)

Öffentlicher Proof-of-Concept- und Exploit-Code.

0xBlackash/CVE-2024-3094CVE-2024-3094PoC · poc_in_github
0xlane/xz-cve-2024-3094XZ Backdoor Extract(Test on Ubuntu 23.10)PoC · poc_in_github
24Owais/threat-intel-cve-2024-3094Threat intelligence report analyzing the xz-utils backdoor vulnerability (CVE-2024-3094)PoC · poc_in_github
AndreaCicca/Sicurezza-Informatica-PresentazionePresentazione per il corsi di sicurezza Informatica sulla vulnerabilità CVE-2024-3094PoC · poc_in_github
Ava-Vispilio/CVE-2024-3094Ava-Vispilio/CVE-2024-3094PoC · poc_in_github
BOSE122/CVE-2024-3094BOSE122/CVE-2024-3094PoC · poc_in_github

betroffene Produkte (24)

Betroffene Produkte und Versionsbereiche.

Debian Linux unstablealle Versionencert_bundDEcpe:/o:debian:debian_linux:unstable
Fedora Linuxalle Versionencert_bundDEcpe:/o:fedoraproject:fedora:-
Gentoo Linuxalle Versionencert_bundDEcpe:/o:gentoo:linux:-
Open Source Arch Linuxalle Versionencert_bundDEcpe:/o:archlinux:archlinux:-
Open Source OpenSSHalle Versionencert_bundDEcpe:/a:openbsd:openssh:-
Open Source xz 5.6.0alle Versionencert_bundDEcpe:/a:tukaani:xz:5.6.0
Open Source xz 5.6.1alle Versionencert_bundDEcpe:/a:tukaani:xz:5.6.1
SUSE Linux MicroOSalle Versionencert_bundDEcpe:/o:suse:suse_linux:microos
SUSE Linux Tumbleweedalle Versionencert_bundDEcpe:/o:suse:suse_linux:tumbleweed
Fedora Project Fedora≤ 40fstec_bduRU
Fedora Project Fedora≤ 41fstec_bduRU
Gentoo Foundation Inc. Gentoo Linux≤ .fstec_bduRU
Manjaro GmbH & Co Manjaroalle Versionenfstec_bduRU
Novell Inc. openSUSE Tumbleweedalle Versionenfstec_bduRU
АО «НППКТ» ОСОН ОСнова Оnyx≤ 2.11fstec_bduRU
АО «НТЦ ИТ РОСА» ROSA Virtualization≤ 2.1fstec_bduRU
АО «НТЦ ИТ РОСА» РОСА Кобальт≤ 7.9fstec_bduRU
АО «НТЦ ИТ РОСА» РОСА ХРОМ≤ 12.4fstec_bduRU
ООО «Юбитех» UBLinux≤ 2405fstec_bduRU
Сообщество свободного программного обеспечения Arch Linuxalle Versionenfstec_bduRU

20 von 24 angezeigt

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2024-0762xz: Schwachstelle ermöglicht Ausführen von beliebigem ProgrammcodeDeutsch2024-04-01csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Debian Linux, SUSE Linux, Arch Linux, Fedora Linux, xz und Gentoo Linux ausnutzen, um beliebigen Programmcode auszuführen.

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund NVD CVE.org MITRE

veröffentlicht 2024-03-29geändert 2026-06-17

Referenzen (118)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan