Ansible Playbook para Parchear la Vulnerabilidad de xz-Utils (CVE-2024-3094)

• Este documento detalla un playbook de Ansible diseñado para abordar la vulnerabilidad crítica (CVE-2024-3094) identificada en las versiones 5.6.0 y 5.6.1 de xz-Utils. Esta vulnerabilidad, clasificada como backdoor, concede a los atacantes acceso no autorizado a los sistemas afectados al omitir la autenticación SSH.

Contexto: Vulnerabilidad de xz-Utils (CVE-2024-3094)

• El 29 de marzo de 2024 se descubrió una vulnerabilidad crítica de backdoor en las versiones 5.6.0 y 5.6.1 de xz-Utils. Esta vulnerabilidad permite a los atacantes omitir la autenticación SSH y obtener acceso no autorizado a los sistemas afectados. Es crucial parchear los sistemas vulnerables de inmediato para mitigar posibles riesgos de seguridad.

Ansible Playbook para el Parcheo

• El playbook de Ansible proporcionado aborda esta vulnerabilidad de la siguiente manera:

  1. Recopilación de hechos del paquete: el módulo package_facts recopila información sobre los paquetes instalados, incluidas sus versiones.
  2. Verificación de versión: un módulo debug extrae la versión base del paquete xz-utils de los hechos recopilados.
  3. Parcheo de sistemas vulnerables: el módulo package instala una versión conocida como segura (safe_version) de xz-utils si la versión actual del sistema coincide con las versiones vulnerables (5.6.0 o 5.6.1).

Estructura del Playbook:

• El playbook consta de tres archivos YAML principales:

1. tasks/main.yaml: este archivo define las tareas principales del playbook.

   • Recopila hechos del paquete mediante package_facts.
   • Comprueba la versión base extraída mediante un módulo debug.
   • Instala condicionalmente una versión segura (safe_version) mediante package si el sistema tiene una versión vulnerable.
   root@kitploit:~

       ---
       - name: Gather package facts
         ansible.builtin.package_facts:
           manager: auto
         register: package_facts
   
       - name: Print the current version of {{ package_name }}
         ansible.builtin.debug:
           var: package_facts.ansible_facts.packages['{{ package_name }}'][0].version.split('-')[0]
         register: version_check
   
       - name: Install safe version of {{ package_name }}
         ansible.builtin.package:
           name: '{{ package_name }}={{ safe_version }}'
           state: present
         when: version_check=={{non_safe_version1}} or version_check=={{non_safe_version2}}
   

2. defaults/main.yaml: este archivo define las variables predeterminadas utilizadas en todo el playbook.

   • package_name: nombre del paquete a parchear (establecido en xz-utils).
   • non_safe_version1: primera versión vulnerable (establecida en 5.6.0).
   • non_safe_version2: segunda versión vulnerable (establecida en 5.6.1).
   • safe_version: versión conocida como segura para instalar (establecida en 5.4.6).
   root@kitploit:~

       ---
       package_name: xz-utils
       non_safe_version1: 5.6.0
       non_safe_version2: 5.6.1
       safe_version: 5.4.6
   

3. playbook.yaml: este archivo define el flujo de ejecución general.

   • Apunta a un grupo de hosts llamado machines.
   • Incluye el rol xz-utils_checkout, que probablemente contiene tareas específicas para gestionar la actualización del paquete xz-utils (no proporcionado aquí).

• Siguiendo estos pasos y desplegando este playbook, puede parchear eficazmente la vulnerabilidad crítica de xz-Utils y proteger sus sistemas frente a posibles accesos no autorizados.