CS50 Intro to Cybersecurity – Proyecto Final

Caso de estudio: Puerta trasera de XZ Utils (CVE-2024-3094)

Este repositorio respalda mi presentación de 7 a 10 minutos sobre la puerta trasera de XZ Utils, incluyendo un resumen de la puerta trasera, el mecanismo de la misma mediante los tarballs de lanzamiento, y las mitigaciones relevantes para la cadena de suministro.

Materiales

• Diapositivas (PDF): A Near-Miss in the Supply Chain: The XZ Utils Backdoor (CVE-2024-3094).pdf
• Referencias: ./References.md
• Vídeo (no listado): youtube-link

Conclusiones clave

• Tarball ≠ Git: impón la paridad artefacto–etiqueta en CI; falla ante cualquier discrepancia.
• Endurecimiento de la cadena de suministro: atestaciones (in-toto), SBOM, SLSA ≥ L3, revisión por dos personas.
• Detectar y recuperar: monitorea el comportamiento anómalo de sshd y la interposición de símbolos; conserva playbooks de reversión probados.

Resumen del incidente

• CVE: CVE-2024-3094
• Cuándo: marzo-abril de 2024
• Enfoque del impacto: riesgo para la autenticación SSH mediante una cadena de dependencias indirecta (p. ej. sshd → libsystemd → liblzma)

Agradecimientos

Andres Freund, estos archivos agradecen a todos en la distro por encontrar y remediar esto.

---

Presentador: Gianluca Milani, edX: Gianluca25, GitHub: M1lo25
Fecha de grabación: 16/10/2025