Palo Alto Networks 产品安全保障团队评估了影响 XZ 工具和库 5.6.0 和 5.6.1 版本的供应链妥协。这些版本的软件可能允许未经授权访问受影响的系统。根据目前已知的信息，Palo Alto Networks 产品和云服务不包含受影响的 XZ 软件包，不受这些问题的影响。

🦠 **供应链妥协：** XZ 工具和库的 5.6.0 和 5.6.1 版本受到供应链妥协的影响，可能允许未经授权访问受影响的系统。 该漏洞利用了 XZ 工具和库的源代码分发方式，攻击者将恶意代码植入这些软件包的源代码中，从而在用户下载并安装这些软件包时，将恶意代码注入到用户的系统中。 攻击者可以利用此漏洞来窃取敏感信息、控制受感染系统或执行其他恶意活动。

🛡️ **Palo Alto Networks 产品不受影响：** 根据目前已知的信息，Palo Alto Networks 产品和云服务不包含受影响的 XZ 软件包，不受这些问题的影响。 Palo Alto Networks 已经对自己的产品进行了评估，确保其不受 CVE-2024-3094 漏洞的影响。 Palo Alto Networks 建议用户参考 Unit42 威胁简报，了解最新的指导和产品，以保护客户免受 CVE-2024-3094 漏洞的影响。

🧭 **建议采取的措施：** - 更新 XZ 工具和库到最新版本，以修复漏洞。 - 使用信誉良好的软件源下载软件，以避免下载包含恶意代码的软件包。 - 定期扫描系统，以检测和清除恶意软件。 - 启用系统安全功能，例如防火墙和反病毒软件，以保护系统免受攻击。 - 定期更新系统和软件，以修复安全漏洞。 - 提高对网络安全的意识，以避免成为攻击者的目标。

Palo Alto Networks Security Advisories /CVE-2024-3094CVE-2024-3094 Informational: Impact of Malicious Code in XZ Tools and Libraries (CVE-2024-3094)InformationalNVDJSON Published2024-04-01 Updated2024-04-01ReferenceDiscoveredexternallyDescriptionThe Palo Alto Networks Product Security Assurance team has evaluated the supply chain compromise impacting versions 5.6.0 and 5.6.1 of XZ tools and libraries. These versions of the software may allow unauthorized access to affected systems.Based on the information presently known, Palo Alto Networks products and cloud services do not contain affected XZ software packages and are not impacted by these issues.Please refer to the Unit42 Threat Brief for the latest guidance and product offerings to protect customers from CVE-2024-3094 in their environments: https://unit42.paloaltonetworks.com/threat-brief-xz-utils-cve-2024-3094/CVESummaryCVE-2024-3094Malicious code in distributed source tarballs of xz, starting with version 5.6.0Product StatusVersionsAffectedUnaffectedCloud NGFW NoneallCortex XDR NoneallCortex XDR Agent NoneallGlobalProtect App NoneallPAN-OS NoneallPrisma Access NoneallPrisma Cloud NoneallPrisma Cloud Compute NoneallWeakness TypeCWE-506: Embedded Malicious CodeSolutionNo software updates are required at this time.Timeline2024-04-01Initial Publication