Análisis técnico de CVE-2024-3094: puerta trasera en la cadena de suministro de XZ Utils

Demostración en vídeo: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

Descripción:

Un desglose técnico y arquitectónico en profundidad de CVE-2024-3094 (CVSS 10.0 Crítico), la histórica puerta trasera en la cadena de suministro de código abierto incrustada en xz-utils / liblzma (versiones 5.6.0 y 5.6.1) descubierta en marzo de 2024.

Esta presentación se desarrolló como Proyecto Final para CS50’s Introduction to Cybersecurity de la Universidad de Harvard / edX.

👤 Metadatos del proyecto

Nombre del estudiante: Namegabe Mulokwa Victoire
Nombre de usuario de edX: namegabevictoire01
Nombre de usuario de GitHub: namegabevictoire01-sys
Fecha: 15 de septiembre de 2026
Curso: CS50 Cybersecurity (Proyecto Final)

📌 Resumen ejecutivo

En marzo de 2024 se descubrió un ataque crítico a la cadena de suministro dentro de xz-utils, una utilidad de compresión fundamental utilizada en las principales distribuciones de Linux (Debian, Fedora, Ubuntu, Arch, RHEL). Con la puntuación máxima de vulnerabilidad de CVSS 10.0, la puerta trasera se dirigía a liblzma.so durante la compilación para secuestrar los procesos de OpenSSH (sshd), permitiendo la ejecución remota de código (RCE) no autorizada con privilegios completos de root.

Este proyecto examina el ciclo de vida completo de la vulnerabilidad a través de cinco dimensiones clave:

Alcance e impacto: huella global de liblzma y conceptos fundamentales de seguridad de sistemas.
Ingeniería social: la campaña de infiltración de dos años con múltiples identidades falsas llevada a cabo por el actor de amenazas 'Jia Tan'.
Mecánica técnica: archivos de prueba ofuscados, ejecución de m4 en tiempo de compilación y secuestro de símbolos GNU IFUNC.
Detección y ejecución de la carga útil: verificación de firmas criptográficas (ED448) y el descubrimiento de la anomalía por parte de Andres Freund.
Mitigación sistémica: gobernanza con múltiples mantenedores, compilaciones reproducibles y desacoplamiento de privilegios.

🛠️ Hallazgos técnicos clave

Ingeniería social / Infiltración humana: el actor de amenazas se ganó la confianza durante 24 meses mediante contribuciones genuinas antes de aprovechar cuentas títere coordinadas para presionar al único mantenedor, obteniendo finalmente permisos administrativos de commit y de firma de versiones.
Ofuscación en tiempo de compilación: se ocultaron objetos binarios maliciosos dentro de archivos de prueba disfrazados (bad-3-corrupt_lzma2.xz). Una macro build-to-host.m4 inyectada verificaba las condiciones del entorno (empaquetado dirigido a Linux x86_64) antes de extraer y enlazar la carga útil durante la generación del binario.
Interceptación de OpenSSH mediante GNU IFUNC: en las distribuciones de Linux con systemd habilitado, systemd enlaza OpenSSH con liblzma. La puerta trasera utilizó las Funciones Indirectas de GNU (IFUNC) para engancharse en memoria durante la resolución dinámica de símbolos, reemplazando RSA_public_decrypt.
Ejecución remota encubierta: la función enganchada evaluaba las cargas útiles SSH entrantes contra una clave ED448 codificada de forma rígida. Las firmas válidas desencadenaban una ejecución instantánea como root sin dejar rastros en los registros del sistema (syslog), mientras que los intentos que no coincidían pasaban sin problemas a la autenticación estándar.

📂 Estructura del repositorio y del proyecto

.
├── presentation_slides/     # High-resolution 16:9 presentation slides (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # AI Voiceover transcripts and timing scripts
│   └── narration_script.txt
├── README.md                # Project documentation and summary
└── project_details.txt      # Course submission metadata

cs50-cybersecurity-final-project

Más Populares