teyhouse/cve-2024-3094Comprobación de vulnerabilidad de K8S y Docker para CVE-2024-3094
Se descubrió código malicioso en los tarballs oficiales de xz, a partir de la versión 5.6.0. Mediante una serie de complejas ofuscaciones, el proceso de compilación de liblzma extrae un archivo objeto precompilado de un archivo de prueba disfrazado presente en el código fuente, que luego se utiliza para modificar funciones específicas en el código de liblzma.
Esto da como resultado una biblioteca liblzma modificada que puede ser utilizada por cualquier software vinculado a esta biblioteca, interceptando y modificando la interacción de datos con la misma. Este repositorio contiene dos scripts rápidos para verificar sus Pods de Kubernetes y Contenedores Docker frente a la versión vulnerable más reciente de liblzma5: 5.6.0 o 5.6.1.
Créditos para https://www.openwall.com/lists/oss-security/2024/03/29/4 por el script de detección que utilicé como base.
Para más detalles, consulte:
https://nvd.nist.gov/vuln/detail/CVE-2024-3094
https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
https://www.theregister.com/2024/03/29/malicious_backdoor_xz/
https://sysdig.com/blog/cve-2024-3094-detecting-the-sshd-backdoor-in-xz-utils/
Si estás buscando un contenedor vulnerable real para realizar pruebas:
https://hub.docker.com/layers/library/debian/experimental-20240311/images/sha256-81992d9d8eb99b5cde98ba557a38a171e047b222a767dc7ec0ffe0a194b1c469?context=explore
Crea un SBOM con Trivy:
trivy image --format cyclonedx --output result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
Comprueba si hay liblzma5:
cat result.json | grep liblzma5 "bom-ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "name": "liblzma5", "purl": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "value": "[email protected]" "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
El uso de scripts manuales para verificar vulnerabilidades en los contenedores, aunque es informativo, no es óptimo y carece de la escalabilidad, la exhaustividad y las capacidades de monitoreo en tiempo real de una plataforma integral de protección de aplicaciones nativas de la nube (CNAPP) como Falco.
Las CNAPP ofrecen una evaluación de seguridad automática y continua y la aplicación de políticas en toda su pila nativa de la nube, garantizando una gestión más sólida de la postura de seguridad con una intervención manual mínima.
