CVE-2024-3094

CVE-2024-3094 Aufbau der Laborumgebung und Bericht

CVE-2024-3094 Praktikum

In XZ Utils 5.6.0 und 5.6.1 eingeschleuste Hintertür wurde in der Laborumgebung nachgestellt und SSH-Authentifizierungs-Hooking sowie Risiken analysiert.

Umgebung

• Host-Betriebssystem : - Windows 11
• Docker : Docker Desktop 28.0.1
• Dockerfile-Basis-Image : debian:experimental-20240311
• liblzama5-Version : 5.6.0
• SSH-Port : 2222 (root / pw : whs)

Dockerfile

docker-compose.yaml

Vorgehen

1. Dockerfile und docker-compose.yaml erstellen

2. Container bauen und starten docker compose up --build -d

3. Systemzugriff über SSH-Verbindung ssh root@localhost -p 2222 #Passwort : whs

4. Mit dpkg überprüfen, dass die libzma5-Version 5.6.0 ist dpkg -l | grep libzlma

5. Überprüfen, ob sshd liblzma.so verwendet ldd /usr/sbin/sshd | grep lzma

• Keine Ausgabe -> In dieser Laborumgebung scheint die sshd-Binärdatei nicht dynamisch mit liblzma.so verbunden zu sein, aber die Installation der anfälligen liblzma5-Version wurde bestätigt. Auch die Möglichkeit der PoC-Ausführung konnte bestätigt werden.

6. PoC-Skript erstellen Dateiname : poc_detect_backdoor.sh

7. Ausführungsergebnis chmod +x poc_detect_backdoor.sh ./poc_detect_backdoor.sh

Anhand dieser Ergebnisse konnte bestätigt werden, dass das PoC-Skript im Container erfolgreich ausgeführt wurde, und es konnte nachgewiesen werden, dass die Laborumgebung allein mit Dockerfile und docker-compose.yaml korrekt aufgebaut wurde.

Fazit

• Eine Docker-Umgebung auf Basis der anfälligen Version mit der XZ-Hintertür eingerichtet, überprüft, ob sshd auf diese Bibliothek verweist, und dann mit einer einfachen PoC-Ausführung die Funktionsweise verifiziert.
• Bestätigt, dass die Reproduktion allein mit Dockerfile und docker-compose.yaml möglich ist.
• Die Sicherung dieser Schwachstelle erfolgt durch Entfernen der anfälligen XZ-Version oder Upgrade auf eine gepatchte Version.