Comment détecter la CVE-2024-3094

Je vais vous expliquer étape par étape comment détecter la CVE-2024-3094, communément appelée la Backdoor XZ, dans les conteneurs à l'aide de la CLI Vision One TMAS de Trend Micro. Cette vulnérabilité présente des risques importants pour les environnements conteneurisés, et avec les bons outils et procédures, nous pouvons identifier et atténuer efficacement ces menaces. Commençons.

Prérequis

• Disposer d'un compte Vision One. Inscrivez-vous pour un essai gratuit si ce n'est pas déjà fait !
• Une clé API dans Vision One avec les autorisations Run artifact scan et appliquez le rôle à la clé API ;
• Une image conteneur avec la vulnérabilité CVE-2024-3094. Vous pouvez utiliser l'image suivante à des fins de test : ghcr.io/felipecosta09/cve-2024-3094:latest.

Étape 1 : Installer la CLI Vision One TMAS

Pour installer la CLI, vous pouvez suivre les étapes de la documentation officielle. ou utiliser le script ci-dessous :

curl -s -L https://gist.githubusercontent.com/felipecosta09/a3d0cf68f4e85fc53bd6d295c1bb2c5b/raw/fafd525ef1bccfe7a460ec29e5f6d8aca397448a/tmas_install.sh | bash

Le script téléchargera la dernière version de la CLI et l'installera sur votre système.

Étape 2 : S'authentifier avec la clé API Vision One

Pour s'authentifier avec la clé API Vision One, vous pouvez utiliser la commande suivante :

export TMAS_API_KEY=<your_vision_one_api_key>

Étape 3 : Analyser l'image conteneur

Maintenant que vous avez la CLI installée et authentifiée, vous pouvez analyser l'image conteneur pour détecter la vulnérabilité CVE-2024-3094 en utilisant la commande suivante :

tmas scan docker:ghcr.io/felipecosta09/cve-2024-3094

La commande renverra les résultats de l'analyse, et vous pourrez voir si l'image présente la vulnérabilité CVE-2024-3094.

{
  "totalVulnCount": 56,
  "criticalCount": 1,
  "highCount": 0,
  "mediumCount": 4,
  "lowCount": 1,
  "negligibleCount": 43,
  "unknownCount": 7,
  "overriddenCount": 0,
  "findings": {
    "Critical": [
      {
        "name": "liblzma5",
        "type": "deb",
        "version": "5.6.0-0.2",
        "id": "CVE-2024-3094",
        "source": "https://security-tracker.debian.org/tracker/CVE-2024-3094",
        "severity": "Critical",
        "fix": "5.6.1+really5.4.5-1",
        "locations": [
          "/usr/share/doc/liblzma5/copyright",
          "/var/lib/dpkg/info/liblzma5:amd64.md5sums",
          "/var/lib/dpkg/status"
        ],
        "cvssSummaries": [],
        "relatedVulnerabilities": [
          {
            "id": "CVE-2024-3094",
            "source": "https://nvd.nist.gov/vuln/detail/CVE-2024-3094",
            "severity": "Critical",
            "cvssSummaries": [
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              },
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              }
            ]
          }
        ]
      }
    ]

PS.: La région par défaut est us. Si vous utilisez une autre région, vous pouvez définir la région avec le drapeau -r. Pour plus d'informations, vous pouvez également utiliser le drapeau --help.

Automatisation du processus d'analyse

Si vous souhaitez un moyen encore plus simple de savoir si votre image ou une image quelconque présente la vulnérabilité CVE-2024-3094, vous pouvez utiliser le script cve2024-3094.sh. Le script analysera l'image et renverra les résultats.

./cve2024-3094.sh
Enter the image name and tag
ghcr.io/felipecosta09/cve-2024-3094
Scanning the image ghcr.io/felipecosta09/cve-2024-3094:latest
CVE-2024-3094 IT IS present in the image ghcr.io/felipecosta09/cve-2024-3094:latest