XZ Utils backdoor — a supply-chain attack that almost shipped

The 2024 XZ backdoor was a multi-year social-engineering campaign that planted an SSH bypass in a core Linux compression library, caught by luck days before wide release.

Not yet scoped.

Why

The PoC studies the maintainer-trust attack rather than the payload — how a patient contributor earned commit rights — because the human supply chain is the vulnerability here.

How it works

Not yet built.

Where it lands in Jayverse

CI: pin by commit hash and review handoffs, not just lockfiles. The frozen-lockfile and OpenZeppelin-pinned-as-submodules policy is the right shape; extend it to pinning by commit hash rather than tag, and reviewing any maintainer handoff before bumping a pin.
gitboard/Auditor: track commit-access changes as a monitored event. Log who has merge rights on each Jayverse repo and when that access last changed, since this attack's vector was social engineering into commit access, not a code flaw.

Key expressions

Words and phrases from this page worth keeping, with the Korean meaning and the sentence they come from.

Expression	뜻 · 쓰이는 자리
caught by luck	운 좋게 발각되다 · 실력이 아니라 우연히 막힌 상황을 말할 때. "caught by luck days before wide release"
wide release	대대적인(전면) 배포 · 소프트웨어가 널리 퍼지기 직전 시점을 말할 때. "days before wide release"
social-engineering campaign	사회공학적 공작(사람을 속여 접근권을 얻음) · 장기간에 걸친 신뢰 획득 공격을 말할 때. "a multi-year social-engineering campaign"
earn (commit) rights	(커밋) 권한을 신뢰를 쌓아 얻어내다 · 공격자가 정당한 절차처럼 권한을 확보했을 때. "how a patient contributor earned commit rights"
patient (adj.)	끈기 있는, 오래 공들인 · 장기간 신뢰를 쌓아가는 공격자를 묘사할 때. "how a patient contributor earned commit rights"
XZ Utils	XZ 유틸스 · 리눅스 핵심 압축 라이브러리, 이 사건에서 백도어가 심어진 대상. "planted an SSH bypass in a core Linux compression library"

← All Knowledge Notes · Workspace Index · Top ↑

XZ Utils 백도어 — 거의 배포될 뻔한 공급망 공격

2024년 XZ 백도어는 핵심 리눅스 압축 라이브러리에 SSH 우회를 심은 다년간의 사회공학 캠페인이었고, 광범위 배포 며칠 전 운으로 발각됐습니다.

아직 범위 미정.

왜

이 PoC는 페이로드가 아니라 관리자 신뢰 공격 — 인내심 있는 기여자가 커밋 권한을 얻은 과정 — 을 연구합니다. 여기서 취약점은 인간 공급망이기 때문입니다.

동작 방식

아직 만들지 않음.

Jayverse에서의 위치

CI: 락파일뿐 아니라 커밋 해시로 고정하고 인수인계를 검토한다. 프로즌 락파일과 OpenZeppelin 서브모듈 고정 정책은 방향이 맞다. 여기에 태그가 아니라 커밋 해시로 고정하는 것, 핀을 올리기 전에 메인테이너 인수인계를 검토하는 것을 추가한다.
gitboard/Auditor: 커밋 권한 변경을 모니터링 대상 이벤트로 추적한다. 각 Jayverse 레포에서 누가 머지 권한을 가지고 있고 그 권한이 언제 마지막으로 바뀌었는지 기록한다. 이 공격의 경로는 코드 결함이 아니라 커밋 권한으로의 사회공학이었다.

핵심 표현

이 페이지의 영어 본문에서 배울 만한 단어와 표현, 뜻과 나온 자리.

Expression	뜻 · 쓰이는 자리
caught by luck	운 좋게 발각되다 · 실력이 아니라 우연히 막힌 상황을 말할 때. "caught by luck days before wide release"
wide release	대대적인(전면) 배포 · 소프트웨어가 널리 퍼지기 직전 시점을 말할 때. "days before wide release"
social-engineering campaign	사회공학적 공작(사람을 속여 접근권을 얻음) · 장기간에 걸친 신뢰 획득 공격을 말할 때. "a multi-year social-engineering campaign"
earn (commit) rights	(커밋) 권한을 신뢰를 쌓아 얻어내다 · 공격자가 정당한 절차처럼 권한을 확보했을 때. "how a patient contributor earned commit rights"
patient (adj.)	끈기 있는, 오래 공들인 · 장기간 신뢰를 쌓아가는 공격자를 묘사할 때. "how a patient contributor earned commit rights"
XZ Utils	XZ 유틸스 · 리눅스 핵심 압축 라이브러리, 이 사건에서 백도어가 심어진 대상. "planted an SSH bypass in a core Linux compression library"

← 전체 기술 노트 · 워크스페이스 인덱스 · 맨 위 ↑