hackerhermanos/cve-2024-3094_xz_checkEste repositorio contiene un script de Bash y un comando de una sola línea para verificar si un sistema está ejecutando una versión vulnerable de la utilidad "xz", según lo especificado por CVE-2024-3094.
Este repositorio contiene un script Bash y un comando de una sola línea para verificar si un sistema está ejecutando una versión vulnerable de la utilidad "xz", según lo especificado por CVE-2024-3094.
Consulte la descripción y la declaración de impacto a continuación, según la información disponible a través de RedHat https://access.redhat.com/security/cve/CVE-2024-3094:
"Se identificó código malicioso en los tarballs upstream de "xz" a partir de la versión 5.6.0. Este código implica un método complejo en el que el proceso de compilación de liblzma extrae un archivo objeto precompilado de un archivo de prueba disfrazado dentro del código fuente. Luego, este archivo se utiliza para alterar funciones específicas dentro del código de liblzma, lo que da como resultado una librería liblzma comprometida. Cualquier software vinculado a esta librería modificada puede interceptar y alterar las interacciones de datos con la librería, exponiendo potencialmente los sistemas a riesgos de seguridad.
La investigación realizada hasta la fecha revela que los paquetes afectados se limitan a Fedora 41 y Fedora Rawhide dentro del ecosistema comunitario de Red Hat. Ninguna versión de Red Hat Enterprise Linux (RHEL) se ve afectada por este problema.
La vulnerabilidad se origina a partir de una inyección maliciosa encontrada en las versiones 5.6.0 y 5.6.1 de xz, específicamente dentro del paquete de descarga tarball. La distribución de Git no incluye la macro M4 responsable de desencadenar la compilación del código malicioso. Sin embargo, el repositorio de Git sí contiene artefactos de segunda etapa destinados a inyectarse durante el tiempo de compilación si la macro M4 maliciosa está presente. Sin la integración en la compilación, estos archivos de segunda etapa son inofensivos. Las demostraciones de la vulnerabilidad revelaron interferencia con el demonio OpenSSH, que, aunque no está directamente vinculado a la librería liblzma, interactúa con systemd de una manera que lo hace susceptible al malware, dado el vínculo de systemd con liblzma."
"Se descubrió que el paquete xz-utils, desde las versiones 5.6.0 hasta 5.6.1, contenía un backdoor (CVE-2024-3094). Este backdoor podría permitir que un actor malicioso comprometa la autenticación de sshd, otorgando acceso no autorizado a todo el sistema de forma remota.
Con una librería tan ampliamente utilizada, la gravedad de esta vulnerabilidad representa una amenaza para todo el ecosistema Linux. Afortunadamente, este problema se detectó rápidamente, por lo que el impacto fue significativamente menor de lo que podría haber sido. Ya se ha parcheado en Debian y, por lo tanto, en Kali Linux.
El impacto de esta vulnerabilidad afectó a Kali entre el 26 y el 29 de marzo, período durante el cual estuvo disponible xz-utils 5.6.0-0.2. Si actualizaste tu instalación de Kali el 26 de marzo o después, pero antes del 29 de marzo, es crucial aplicar las últimas actualizaciones hoy para solucionar este problema. Sin embargo, si no actualizaste tu instalación de Kali antes del 26, no te afecta esta vulnerabilidad de backdoor."
El siguiente script Bash y comando de una sola línea se pueden utilizar para comprobar si tu sistema está afectado por CVE-2024-3094:
command -v xz &>/dev/null && xz_version=$(xz --version | head -n 1 | awk '{print $4}') && { [[ $xz_version == "5.6.0" || $xz_version == "5.6.1" ]] && echo -e "\n[*] This system seems to be VULNERABLE to CVE-2024-3094 since it has a vulnerable version of xz\n\nLearn more about this CVE on this link:\nhttps://nvd.nist.gov/vuln/detail/CVE-2024-3094" || echo -e " \n[*] This system DOES NOT SEEM to be vulnerable to CVE-2024-3094."; } || echo "[-] xz package is not installed."
¿Cómo comprobar manualmente si una versión de Kali Linux está afectada?
"apt-cache policy liblzma5"
kali@kali:~$ apt-cache policy liblzma5
liblzma5:
Installed: 5.4.5-0.3
Candidate: 5.6.1+really5.4.5-1
Version table:
5.6.1+really5.4.5-1 500
500 http://kali.download/kali kali-rolling/main amd64 Packages
*** 5.4.5-0.3 100
100 /var/lib/dpkg/status
Si vemos la versión "5.6.0-0.2" junto a Installed:, entonces debemos actualizar a la versión más reciente, "5.6.1+really5.4.5-1". Podemos hacer esto con los siguientes comandos:
Comando para solucionar el problema con el paquete vulnerable en Kali Linux:
"sudo apt update && sudo apt install -y --only-upgrade liblzma5"