brinhosa/cve-2024-3094-one-linerScripts en une ligne pour vérifier la vulnérabilité du serveur et des images Docker à CVE-2024-3094, y compris la détection de version et l'analyse du dépôt pour les références xz.
Ce dépôt fournit des scripts en une ligne, simples mais puissants, conçus pour vous aider à déterminer rapidement si votre serveur est vulnérable à CVE-2024-3094, une vulnérabilité de sécurité critique présente dans certaines versions de l'utilitaire xz. De plus, nous proposons un moyen pratique d'analyser vos dépôts de code pour les références à la bibliothèque xz, ce qui pourrait indiquer d'éventuelles vulnérabilités indirectes.
Pour déterminer si votre serveur est vulnérable à CVE-2024-3094, exécutez la commande suivante dans votre terminal :
(type dpkg &>/dev/null && dpkg -l xz 2>/dev/null | awk '/^ii/{print $3}' | grep -qE '^(5.6.0|5.6.1)$' && echo "Vulnerable: CVE-2024-3094" || echo "Not vulnerable or xz not installed") || (type rpm &>/dev/null && rpm -q --qf "%{VERSION}\n" xz 2>/dev/null | grep -qE '^(5.6.0|5.6.1)$' && echo "Vulnerable: CVE-2024-3094" || echo "Not vulnerable or xz not installed")
La commande ci-dessus vérifie les paquets dans la distribution Linux.
Ou essayez cette autre option qui exécutera la commande , ce qui n'est généralement pas recommandé :
xzcommand -v xz &>/dev/null && { xz_version=$(xz --version | head -n 1 | awk '{print $4}'); [[ $xz_version == "5.6.0" || $xz_version == "5.6.1" ]] && echo "Vulnerable: CVE-2024-3094" || echo "Not vulnerable: CVE-2024-3094"; } || echo "xz not installed"
Ce script effectue les actions suivantes :
xz est installé.xz.Pour les équipes utilisant Docker et soucieuses des vulnérabilités dans leurs images conteneurisées, nous proposons un exemple sophistiqué utilisant Trivy, un scanner de vulnérabilités open source par Aqua Security. Cette méthode analyse les images Docker à la recherche de vulnérabilités, y compris CVE-2024-3094, et fournit un résultat clair concernant l'état de sécurité de l'image.
La commande suivante utilise Trivy pour analyser une image Docker (debian:experimental-20240311) et filtrer les résultats pour CVE-2024-3094 liée à liblzma5 :
docker run --rm -v $('pwd'):/project -w /project aquasec/trivy:latest image --format cyclonedx --scanners vuln --output /project/result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970 && jq -r '.components[] | .properties[] | select(.name == "aquasecurity:trivy:PkgID" and (.value | tostring | test("liblzma5@(5\\.6\\.0|5\\.6\\.1)"))) | .value' result.json | grep -qE '5\.6\.0|5\.6\.1' && echo "Vulnerable: CVE-2024-3094" || echo "Not vulnerable or liblzma5 not found"
Fonctionnement :
Commande Docker Run : Lance un conteneur Trivy, en montant le répertoire courant comme volume dans le conteneur. Cette configuration permet à Trivy de sortir les résultats d'analyse directement dans un fichier (result.json) dans le répertoire courant de l'hôte.
Analyse Trivy : Analyse l'image Docker spécifiée pour les vulnérabilités, en sortant les résultats au format CycloneDX (un format standardisé pour les listes de composants logiciels).
Traitement avec jq : Filtre les résultats de l'analyse pour identifier le paquet liblzma5 et vérifie les versions "5.6.0" ou "5.6.1".
Vérification de la vulnérabilité : Utilise grep pour rechercher les versions vulnérables de liblzma5. Affiche "Vulnerable: CVE-2024-3094" si trouvé ; sinon, affiche "Not vulnerable or liblzma5 not found".
Cette méthode est très efficace pour les pipelines automatisés et peut être adaptée pour vérifier diverses vulnérabilités sur différentes images Docker, garantissant ainsi la sécurité de vos déploiements.
Pour utiliser la commande fournie et analyser vos propres images Docker, suivez ces étapes pour personnaliser la commande selon vos besoins :
Remplacez l'image Docker : Changez debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970 par l'image que vous souhaitez analyser. Vous pouvez spécifier votre image par son nom et son tag (par ex., votreimage:votretag) ou par son digest.
Ajustez la vérification de la vulnérabilité : Si vous recherchez d'autres vulnérabilités que CVE-2024-3094, modifiez les expressions jq et grep pour cibler les paquets et versions spécifiques pertinents.
Par exemple, pour analyser votre image nommée votreimage:votretag :
docker run --rm -v $('pwd'):/project -w /project aquasec/trivy:latest image --format cyclonedx --scanners vuln --output /project/result.json votreimage:votretag && jq -r '.components[] | .properties[] | select(.name == "aquasecurity:trivy:PkgID" and (.value | tostring | test("liblzma5@(5\\.6\\.0|5\\.6\\.1)"))) | .value' result.json | grep -qE '5\.6\.0|5\.6\.1' && echo "Vulnerable: CVE-2024-3094" || echo "Not vulnerable or liblzma5 not found"
Conseils pour la personnalisation :
Pour différentes vulnérabilités : Remplacez "liblzma5@(5\\.6\\.0|5\\.6\\.1)" dans la commande jq par le paquet et les versions qui vous intéressent. Par exemple, pour vérifier la version "1.1.1" d'openssl, vous pourriez utiliser openssl@(1\\.1\\.1).
Pour différentes propriétés : En fonction de la vulnérabilité ou du paquet, vous devrez peut-être ajuster .name == "aquasecurity:trivy:PkgID" pour cibler d'autres propriétés dans la sortie CycloneDX.
Mises à jour régulières : Assurez-vous que votre instance de Trivy est régulièrement mise à jour pour disposer des dernières définitions de vulnérabilités. Cela peut généralement être réalisé en extrayant la dernière image aquasec/trivy avant d'exécuter les analyses.
Comprendre la sortie : Familiarisez-vous avec le format de sortie de Trivy et le traitement jq pour interpréter correctement les résultats et comprendre leurs implications pour vos images Docker.
xzSi vous maintenez du code qui interagit potentiellement avec ou dépend de la bibliothèque xz, il est crucial d'identifier toute référence explicite à des versions vulnérables de cette bibliothèque. Utilisez les commandes suivantes pour analyser vos dépôts :
Le projet tukaani est le foyer de l'utilitaire xz. Pour trouver des mentions dans votre code :
grep -rnH "tukaani" .
Pour les projets Java utilisant Maven, vous pourriez spécifier xz comme dépendance dans votre pom.xml. Pour localiser ces références :
grep -rnH "org.tukaani:xz:" .
Ces commandes rechercheront récursivement dans le répertoire courant (et ses sous-répertoires) les motifs spécifiés, en indiquant le nom du fichier, le numéro de ligne et la ligne contenant la correspondance.
Remarque : Assurez-vous de disposer des autorisations nécessaires pour exécuter ces scripts sur votre serveur ou pour analyser des dépôts. Vérifiez et testez toujours les scripts dans un environnement sûr avant de les utiliser en production.
N'hésitez pas à contribuer ou à suggérer des améliorations à ce dépôt en soumettant une pull request ou en ouvrant une issue. Vos retours et contributions sont grandement appréciés !