تحليل تقني لـ CVE-2024-3094: باب خلفي في سلسلة توريد XZ Utils

عرض توضيحي بالفيديو: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

الوصف:

تحليل تقني ومعماري متعمق لـ CVE-2024-3094 (CVSS 10.0 حرج)، وهو الباب الخلفي التاريخي في سلسلة التوريد مفتوحة المصدر المضمّن في xz-utils / liblzma (الإصداران 5.6.0 و5.6.1) الذي اكتُشف في مارس 2024.

طُوّر هذا العرض التقديمي كمشروع نهائي لمقرر CS50's Introduction to Cybersecurity المقدم من جامعة هارفارد / edX.

---

👤 بيانات المشروع الوصفية

• اسم الطالب: Namegabe Mulokwa Victoire
• اسم المستخدم على edX: namegabevictoire01
• اسم المستخدم على GitHub: namegabevictoire01-sys
• التاريخ: 15 سبتمبر 2026
• المقرر: CS50 Cybersecurity (المشروع النهائي)

---

📌 الملخص التنفيذي

في مارس 2024، اكتُشف هجوم حرج على سلسلة التوريد داخل xz-utils، وهي أداة ضغط أساسية تُستخدم على نطاق واسع في توزيعات Linux الرئيسية (Debian وFedora وUbuntu وArch وRHEL). حصل الباب الخلفي على أعلى درجة ثغرة أمنية وهي CVSS 10.0، واستهدف liblzma.so أثناء التجميع لاختطاف عمليات OpenSSH (sshd)، مما يتيح تنفيذ تعليمات برمجية عن بُعد (RCE) غير مصرّح به بصلاحيات root كاملة.

يفحص هذا المشروع دورة حياة الثغرة الكاملة عبر خمسة أبعاد رئيسية:

1. النطاق والتأثير: الانتشار العالمي لـ liblzma ومفاهيم أمن الأنظمة الأساسية.
2. الهندسة الاجتماعية: حملة تسلل استمرت عامين بأدوار متعددة نفّذها الفاعل الخبيث 'Jia Tan'.
3. الآليات التقنية: ملفات اختبار مموّهة، وتنفيذ m4 أثناء البناء، واختطاف رموز GNU IFUNC.
4. الاكتشاف وتنفيذ الحمولة: التحقق من التوقيع التشفيري (ED448) واكتشاف Andres Freund للشذوذ.
5. التخفيف النظامي: حوكمة متعددة المشرفين، والبناءات القابلة لإعادة الإنتاج، وفصل الصلاحيات.

---

🛠️ النتائج التقنية الرئيسية

• الهندسة الاجتماعية / التسلل البشري: بنى الفاعل الخبيث الثقة على مدى 24 شهرًا من خلال مساهمات حقيقية قبل أن يستخدم حسابات وهمية منسّقة للضغط على المشرف الوحيد، ليحصل في النهاية على صلاحيات الالتزام الإداري وتوقيع الإصدارات.
• التمويه أثناء البناء: أُخفيت كائنات ثنائية خبيثة داخل أرشيفات اختبار مموّهة (bad-3-corrupt_lzma2.xz). وقد تحققت ماكرو build-to-host.m4 المحقونة من ظروف البيئة (استهداف حزم Linux على x86_64) قبل استخراج الحمولة وربطها أثناء توليد الملف الثنائي.
• اعتراض OpenSSH عبر GNU IFUNC: في توزيعات Linux المفعّلة بـ systemd، يربط systemd خدمة OpenSSH بـ liblzma. استغل الباب الخلفي الدوال غير المباشرة GNU (IFUNC) للارتباط بالذاكرة أثناء تحليل الرموز الديناميكي، مستبدلًا RSA_public_decrypt.
• تنفيذ عن بُعد خفي: قيّمت الدالة المختطفة حمولات SSH الواردة مقابل مفتاح ED448 مضمّن. فالتوقيعات الصالحة أطلقت تنفيذًا فوريًا بصلاحيات root دون ترك آثار في سجلات النظام (syslog)، بينما مرّت المحاولات غير المطابقة بسلاسة إلى المصادقة القياسية.

---

📂 هيكل المستودع والمشروع

.
├── presentation_slides/     # High-resolution 16:9 presentation slides (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # AI Voiceover transcripts and timing scripts
│   └── narration_script.txt
├── README.md                # Project documentation and summary
└── project_details.txt      # Course submission metadata