-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

######################## UPDATE 1.01 #############################

Titel           : Kwetsbaarheid verholpen in liblzma (XZ Utils)
Advisory ID     : NCSC-2024-0140
Versie          : 1.01
Kans            : high
CVE ID          : CVE-2024-3094
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: http://cve.mitre.org/cve/)
Schade          : high
                  Omzeilen van authenticatie
                  (Remote) code execution (Administrator/Root rechten)
                  Toegang tot systeemgegevens
Uitgiftedatum   : 20240330
Toepassing      : Tukaani XZ Utils
Versie(s)       :
Platform(s)     : Debian
                  openSUSE
                  RedHat
                  Linux

Beschrijving
   Er is malafide code gevonden in de library liblzma van XZ Utils. XZ
   Utils wordt gebruikt voor compressie van data en is mogelijk
   aanwezig in Linux distributies.
   De kwetsbaarheid heeft het kenmerk CVE-2024-3094 gekregen en is
   aangetroffen in versie 5.6.0 en 5.6.1 van XZ Utils.

   Een kwaadwillende kan de kwetsbaarheid mogelijk misbruiken om
   authenticatie te omzeilen en lijkt gebruikt te worden om SSH te
   compromitteren.
   Het is nog onbekend wat nodig is voor het omzeilen van
   authenticatie.
   Het is mogelijk dat bij het verbinding met een kwetsbaar systeem via
   SSH dat er performance problemen optreden.

   Een systeem is hoogst waarschijnlijk alleen kwetsbaar als het
   voldoet aan de volgende voorwaardes:
   -Een Linux distributie met glibc (for IFUNC), en
   -Versie 5.6.0 of 5.6.1 van xz of liblzma geïnstalleerd (XZ Utils
   wordt geleverd met de library liblzma).

Mogelijke oplossingen
   De malafide code is nog niet opgenomen in de productiereleases van
   de meeste distributies, maar de malafide versie (5.6.0 of 5.6.1) kan
   voorkomen in testreleases.

   U kunt dit is te testen met het commando: xz -V

   Op moment wordt door verschillende distrubuties geadviseerd om te
   downgraden naar een oudere versie van XZ Utils die niet
   gecompromitteerd is zoals 5.4.6.

   Meer informatie en handelingsperspectief:
   https://gist.github.com/thesamesam
      /223949d5a074ebc3dce9ee78baad9e27#faq-on-the-xz-utils-backdoor
   https://github.com/tukaani-project/xz/releases/tag/v5.4.6
   https://www.openwall.com/lists/oss-security/2024/03/29/4

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298) - not licensed for commercial use: www.pgp.com
Charset: utf-8
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=bauC
-----END PGP SIGNATURE-----