Cómo detectar la CVE-2024-3094

Te guiaré a través del proceso paso a paso para detectar la CVE-2024-3094, comúnmente conocida como la puerta trasera XZ, en contenedores utilizando Vision One TMAS (CLI) de Trend Micro. Esta vulnerabilidad presenta riesgos significativos para entornos contenerizados, y con las herramientas y procedimientos adecuados, podemos identificar y mitigar estas amenazas de manera efectiva. Comencemos.

Requisitos

Tener una cuenta de Vision One. Regístrate para una prueba gratuita ahora si aún no lo has hecho.
Una clave API en Vision One con permisos de Ejecutar escaneo de artefactos y aplicar el rol a la clave API.
Una imagen de contenedor con la vulnerabilidad CVE-2024-3094. Puedes usar la siguiente imagen con fines de prueba: ghcr.io/felipecosta09/cve-2024-3094:latest.

Paso 1: Instalar la CLI de Vision One TMAS

Para instalar la CLI, puedes seguir los pasos en la documentación oficial o usar el script a continuación:

curl -s -L https://gist.githubusercontent.com/felipecosta09/a3d0cf68f4e85fc53bd6d295c1bb2c5b/raw/fafd525ef1bccfe7a460ec29e5f6d8aca397448a/tmas_install.sh | bash

El script descargará la última versión de la CLI y la instalará en tu sistema.

Paso 2: Autenticarse con la clave API de Vision One

Para autenticarte con la clave API de Vision One, puedes usar el siguiente comando:

export TMAS_API_KEY=<your_vision_one_api_key>

Paso 3: Escanear la imagen del contenedor

Ahora que tienes la CLI instalada y autenticada, puedes escanear la imagen del contenedor en busca de la vulnerabilidad CVE-2024-3094 usando el siguiente comando:

tmas scan docker:ghcr.io/felipecosta09/cve-2024-3094

El comando devolverá los resultados del escaneo, y podrás ver si la imagen tiene la vulnerabilidad CVE-2024-3094.

{
  "totalVulnCount": 56,
  "criticalCount": 1,
  "highCount": 0,
  "mediumCount": 4,
  "lowCount": 1,
  "negligibleCount": 43,
  "unknownCount": 7,
  "overriddenCount": 0,
  "findings": {
    "Critical": [
      {
        "name": "liblzma5",
        "type": "deb",
        "version": "5.6.0-0.2",
        "id": "CVE-2024-3094",
        "source": "https://security-tracker.debian.org/tracker/CVE-2024-3094",
        "severity": "Critical",
        "fix": "5.6.1+really5.4.5-1",
        "locations": [
          "/usr/share/doc/liblzma5/copyright",
          "/var/lib/dpkg/info/liblzma5:amd64.md5sums",
          "/var/lib/dpkg/status"
        ],
        "cvssSummaries": [],
        "relatedVulnerabilities": [
          {
            "id": "CVE-2024-3094",
            "source": "https://nvd.nist.gov/vuln/detail/CVE-2024-3094",
            "severity": "Critical",
            "cvssSummaries": [
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              },
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              }
            ]
          }
        ]
      }
    ]

PD.: La región predeterminada es us. Si estás usando otra región, puedes configurarla con la bandera -r. Para más información, también puedes usar la bandera --help.

Automatizando el proceso de escaneo

Si deseas una forma aún más fácil de saber si tu imagen o cualquier imagen tiene la vulnerabilidad CVE-2024-3094, puedes usar el script cve2024-3094.sh. El script escaneará la imagen y devolverá los resultados.

./cve2024-3094.sh
Enter the image name and tag
ghcr.io/felipecosta09/cve-2024-3094
Scanning the image ghcr.io/felipecosta09/cve-2024-3094:latest
CVE-2024-3094 IT IS present in the image ghcr.io/felipecosta09/cve-2024-3094:latest

cve-2024-3094