CS50 Einführung in die Cybersicherheit – Abschlussprojekt

Fallstudie: XZ Utils Backdoor (CVE-2024-3094)

Dieses Repository unterstützt meine 7–10-minütige Präsentation über die XZ Utils Backdoor, einschließlich einer Zusammenfassung der Backdoor, des Mechanismus der Backdoor über Release-Tarballs und relevanter Maßnahmen zur Absicherung der Lieferkette.

Materialien

• Folien (PDF): A Near-Miss in the Supply Chain: The XZ Utils Backdoor (CVE-2024-3094).pdf
• Referenzen: ./References.md
• Video (Nicht gelistet): youtube-link

Wichtige Erkenntnisse

• Tarball ≠ Git: Erzwinge Artefakt-Tag-Parität in CI; schlage bei jeder Abweichung fehl.
• Härtung der Lieferkette: Attestierungen (in-toto), SBOMs, SLSA ≥ L3, Überprüfung durch zwei Personen.
• Erkennen & Wiederherstellen: Überwache sshd auf anomales Verhalten/Symbol-Interposition; behalte getestete Rollback-Playbooks bereit.

Vorfallübersicht

• CVE: CVE-2024-3094
• Zeitraum: März–April 2024
• Auswirkungsschwerpunkt: Risiko für die SSH-Authentifizierung über eine indirekte Abhängigkeitskette (z. B. sshd → libsystemd → liblzma)