Technische Analyse von CVE-2024-3094: XZ Utils Supply-Chain-Backdoor

Video-Demo: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

Beschreibung:

Eine eingehende technische und architektonische Analyse von CVE-2024-3094 (CVSS 10.0 Kritisch), der historischen Open-Source-Supply-Chain-Backdoor, die in xz-utils / liblzma (Versionen 5.6.0 und 5.6.1) eingebettet und im März 2024 entdeckt wurde.

Diese Präsentation wurde als Abschlussprojekt für CS50’s Introduction to Cybersecurity der Harvard University / edX entwickelt.

👤 Projekt-Metadaten

Name des Studierenden: Namegabe Mulokwa Victoire
edX-Benutzername: namegabevictoire01
GitHub-Benutzername: namegabevictoire01-sys
Datum: 15. September 2026
Kurs: CS50 Cybersecurity (Abschlussprojekt)

📌 Zusammenfassung

Im März 2024 wurde ein kritischer Supply-Chain-Angriff innerhalb von xz-utils entdeckt, einem grundlegenden Komprimierungswerkzeug, das in großen Linux-Distributionen (Debian, Fedora, Ubuntu, Arch, RHEL) verwendet wird. Die Backdoor, der die maximale Schwachstellenbewertung von CVSS 10.0 zugewiesen wurde, zielte während der Kompilierung auf liblzma.so ab, um OpenSSH-Prozesse (sshd) zu kapern und so eine unbefugte Remote-Codeausführung (RCE) mit vollen root-Privilegien zu ermöglichen.

Dieses Projekt untersucht den vollständigen Lebenszyklus der Schwachstelle entlang von fünf zentralen Dimensionen:

Umfang & Auswirkung: Globale Verbreitung von liblzma und zentrale Konzepte der Systemsicherheit.
Social Engineering: Die zweijährige Infiltrationskampagne mit mehreren Identitäten durch den Bedrohungsakteur „Jia Tan“.
Technische Mechanismen: Verschleierte Testdateien, m4-Ausführung zur Build-Zeit und Hijacking von GNU-IFUNC-Symbolen.
Erkennung & Payload-Ausführung: Kryptografische Signaturprüfung (ED448) und Andres Freunds Entdeckung der Anomalie.
Systemische Gegenmaßnahmen: Governance mit mehreren Maintainern, reproduzierbare Builds und Entkopplung von Privilegien.

🛠️ Zentrale technische Erkenntnisse

Social Engineering / Menschliche Infiltration: Der Bedrohungsakteur baute über 24 Monate hinweg durch echte Beiträge Vertrauen auf, bevor er koordinierte Sockenpuppen-Konten einsetzte, um Druck auf den einzigen Maintainer auszuüben und schließlich administrative Commit- und Release-Signierungsrechte zu erlangen.
Verschleierung zur Build-Zeit: Bösartige Binärobjekte wurden in getarnten Testarchiven (bad-3-corrupt_lzma2.xz) versteckt. Ein injiziertes build-to-host.m4-Makro überprüfte die Umgebungsbedingungen (Paketierung für x86_64-Linux-Ziele), bevor es den Payload während der Binärgenerierung extrahierte und verlinkte.
Abfangen von OpenSSH über GNU IFUNC: Auf systemd-fähigen Linux-Distributionen verlinkt systemd OpenSSH mit liblzma. Die Backdoor nutzte GNU Indirect Functions (IFUNC), um sich während der dynamischen Symbolauflösung in den Speicher einzuklinken und RSA_public_decrypt zu ersetzen.
Verdeckte Remote-Ausführung: Die gekaperte Funktion prüfte eingehende SSH-Payloads gegen einen fest einprogrammierten ED448-Schlüssel. Gültige Signaturen lösten sofortige root-Ausführung aus, ohne Spuren in den Systemprotokollen (syslog) zu hinterlassen, während nicht übereinstimmende Versuche nahtlos an die Standardauthentifizierung weitergeleitet wurden.

📂 Repository- & Projektstruktur

.
├── presentation_slides/     # Hochauflösende 16:9-Präsentationsfolien (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # KI-Voiceover-Transkripte und Timing-Skripte
│   └── narration_script.txt
├── README.md                # Projektdokumentation und Zusammenfassung
└── project_details.txt      # Metadaten zur Kursabgabe

cs50-cybersecurity-final-project

Beliebteste