CVE-2024-3094

Bösartiger Code wurde in den Upstream-Tarballs von xz entdeckt, beginnend mit Version 5.6.0. Durch eine Reihe komplexer Verschleierungen extrahiert der liblzma-Buildprozess eine vorgefertigte Objektdatei aus einer getarnten Testdatei im Quellcode, die dann verwendet wird, um bestimmte Funktionen im liblzma-Code zu modifizieren.
Dies führt zu einer modifizierten liblzma-Bibliothek, die von jeder Software genutzt werden kann, die gegen diese Bibliothek gelinkt ist, und die Dateninteraktion mit dieser Bibliothek abfängt und modifiziert. Dieses Repository enthält zwei schnelle Skripte, um Ihre Kubernetes-Pods und Docker-Container auf die anfällige, sehr aktuelle Version von liblzma5 - 5.6.0 oder 5.6.1 zu überprüfen.

Dank an https://www.openwall.com/lists/oss-security/2024/03/29/4 für das Erkennungsskript, das ich als Grundlage verwendet habe.

Weitere Details finden Sie unter:
https://nvd.nist.gov/vuln/detail/CVE-2024-3094
https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
https://www.theregister.com/2024/03/29/malicious_backdoor_xz/
https://sysdig.com/blog/cve-2024-3094-detecting-the-sshd-backdoor-in-xz-utils/

Testen

Wenn Sie einen tatsächlich anfälligen Container zum Testen suchen:
https://hub.docker.com/layers/library/debian/experimental-20240311/images/sha256-81992d9d8eb99b5cde98ba557a38a171e047b222a767dc7ec0ffe0a194b1c469?context=explore

Erstellen Sie eine SBOM mit Trivy:
trivy image --format cyclonedx --output result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970

Prüfen Sie auf liblzma5: cat result.json | grep liblzma5 "bom-ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "name": "liblzma5", "purl": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "value": "[email protected]" "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970

Haftungsausschluss

Die Verwendung manueller Skripte zur Überprüfung von Containern auf Schwachstellen ist zwar informativ, aber nicht optimal und bietet nicht die Skalierbarkeit, Gründlichkeit und Echtzeit-Überwachungsfähigkeiten einer umfassenden Cloud Native Application Protection Platform (CNAPP) wie Falco.
CNAPPs bieten automatisierte, kontinuierliche Sicherheitsbewertung und Durchsetzung von Richtlinien in Ihrem Cloud-Native-Stack und gewährleisten so ein robusteres Sicherheitsmanagement mit minimalem manuellem Eingriff.