mightysai1997/cve-2024-3094
Bösartiger Code wurde in den Upstream-Tarballs von xz entdeckt, beginnend mit Version 5.6.0. Durch eine Reihe komplexer Verschleierungen extrahiert der liblzma-Buildprozess eine vorgefertigte Objektdatei aus einer getarnten Testdatei im Quellcode, die anschließend verwendet wird, um bestimmte Funktionen im liblzma-Code zu modifizieren.
Dies führt zu einer modifizierten liblzma-Bibliothek, die von jeder Software verwendet werden kann, die mit dieser Bibliothek verlinkt ist, und die Dateninteraktion mit dieser Bibliothek abfängt und verändert. Dieses Repository enthält zwei schnelle Skripte, um deine Kubernetes-Pods und Docker-Container gegen die verwundbare, sehr aktuelle Version von liblzma5 - 5.6.0 oder 5.6.1 zu prüfen.
Dank an https://www.openwall.com/lists/oss-security/2024/03/29/4 für das Erkennungsskript, das ich als Grundlage verwendet habe.
Für weitere Details siehe:
https://nvd.nist.gov/vuln/detail/CVE-2024-3094
https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
https://www.theregister.com/2024/03/29/malicious_backdoor_xz/
https://sysdig.com/blog/cve-2024-3094-detecting-the-sshd-backdoor-in-xz-utils/
Wenn du nach einem tatsächlich verwundbaren Container zum Testen suchst:
https://hub.docker.com/layers/library/debian/experimental-20240311/images/sha256-81992d9d8eb99b5cde98ba557a38a171e047b222a767dc7ec0ffe0a194b1c469?context=explore
Erstelle ein SBOM mit Trivy:
trivy image --format cyclonedx --output result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
Prüfe auf liblzma5:
cat result.json | grep liblzma5 "bom-ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "name": "liblzma5", "purl": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "value": "[email protected]" "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
Die Verwendung manueller Skripte zur Überprüfung von Containern auf Schwachstellen ist zwar informativ, aber nicht optimal und verfügt nicht über die Skalierbarkeit, Gründlichkeit und Echtzeit-Überwachungsfunktionen einer umfassenden Cloud Native Application Protection Platform (CNAPP) wie Falco.
CNAPPs bieten eine automatisierte, kontinuierliche Sicherheitsbewertung und Richtliniendurchsetzung für deinen Cloud-nativen Stack und gewährleisten so ein robusteres Sicherheitsmanagement mit minimalem manuellem Eingriff.
