关于XZ工具漏洞对Scala/Akka代码依赖影响的问询

核心结论 #

你的Scala/Akka项目不会受到CVE-2024-3094漏洞的影响，具体分析如下：

1. 漏洞的本质与影响范围 #

CVE-2024-3094是针对Linux发行版预装的XZ Utils 5.6.0/5.6.1版本的供应链攻击：

• 攻击者篡改了上游XZ Utils的源码，植入后门程序
• 后门仅通过系统级SSH服务加载被篡改的liblzma系统库触发
• 该漏洞仅影响系统层面的SSH服务和对应的系统级liblzma库，和Java/Scala应用依赖的XZ库完全无关

2. Maven依赖与OS级XZ的区别 #

你发现的org.tukaani:xz是Java平台专属的XZ压缩工具库，和系统级XZ Utils是两个独立的组件：

• 版本体系独立：Java库使用1.x版本号，系统级XZ Utils使用5.x版本号，两者没有对应关系
• 用途不同：Java库用于在应用层处理XZ格式的压缩/解压缩，系统级XZ是操作系统层面的命令行工具和系统库
• 代码实现独立：虽然同属tukaani项目，但Java版是单独维护的分支，未被植入CVE-2024-3094的后门

针对你项目中的两处依赖：

• 第一处为test scope依赖，仅在测试阶段生效，且版本不在受影响的5.6.x范围内
• 第二处是commons-compress的可选依赖（版本1.8），属于Java版XZ库，和系统级漏洞无关联

3. 项目安全的验证依据 #

• 你的服务器系统级XZ版本为5.2.2，不在漏洞影响的5.6.0/5.6.1范围内，系统层面安全
• 项目依赖的Java版XZ库不在漏洞的攻击范围内，无论版本是1.8还是最新的1.9，都不会触发该SSH后门漏洞

内容的提问来源于stack exchange，提问作者Kailash