Security Review: CVE-2024-3094 (Backdoor XZ Utils)

Auteur: Ivan Sushin
Date: Mars 2026

---

1. Description du projet

Ce dépôt contient les résultats d'une revue de sécurité complète de la vulnérabilité CVE-2024-3094 (Supply Chain Attack dans la bibliothèque XZ Utils).

Objectif du travail :

• Réaliser une analyse des menaces (Threat Modeling)
• Effectuer une analyse statique et dynamique du code
• Développer un ensemble de tests automatisés
• Préparer des recommandations pour minimiser les risques

Artéfacts :

Fichier	Description
docs/ThreatModel.md	Modèle de menace STRIDE + diagramme
docs/Report_Final.pdf	Rapport final (57+ pages)
exploit/PoC.py	Preuve de concept (Proof-of-Concept) de la vulnérabilité
tests/	Ensemble de tests automatisés (pytest)
reports/Findings.xlsx	Tableau des résultats de la revue de sécurité
presentation/	Diapositives et vidéo de la présentation

---

2. Prérequis

Composant	Version	Usage
Docker Engine	20.10+	Conteneurisation de l'environnement
Git	2.20+	Contrôle de version
Python	3.8+	Tests et scripts
GCC/Clang	9.0+	Compilation de XZ Utils

---

3. Démarrage rapide

3.1. Construction de l'image Docker

cd kaspersky_task_SushinIvan

# Собрать образ
docker build -t cveanalysis:1.0 .

# Проверка образа
docker images | grep cveanalysis

# Запустить контейнер
docker run -it --rm --privileged -v $(pwd):/work cveanalysis:1.0

3.2.1 Construction de XZ Utils (dans le conteneur)

cd /work/src/vulnerable-code/build

# Очистка кэша
rm -rf CMakeCache.txt CMakeFiles/

# Конфигурация
cmake .. -DBUILD_SHARED_LIBS=ON -DCMAKE_BUILD_TYPE=Debug \
    -DUSE_ATTR_IFUNC=OFF -DENABLE_NLS=OFF

# Сборка
make -j$(nproc)

# Проверка версии
./xz --version
# Ожидаемый вывод: xz (XZ Utils) 5.6.1

3.2.2 Construction de la version corrigée (XZ Utils 5.6.2)

cd /work/src/patched-code/build

# Очистка кэша
rm -rf CMakeCache.txt CMakeFiles/

# Конфигурация
cmake .. -DBUILD_SHARED_LIBS=ON -DCMAKE_BUILD_TYPE=Debug \
    -DUSE_ATTR_IFUNC=OFF -DENABLE_NLS=OFF

# Сборка
make -j$(nproc)

# Проверка версии
./xz --version
# Ожидаемый вывод: xz (XZ Utils) 5.6.2

3.3 Vérification de la construction (make && make test)

cd /work/src/vulnerable-code/build

# Сборка
make -j$(nproc)

# Запуск тестов проекта
make test

# Ожидаемый результат: All tests passed

3.3 Lancement des tests

# Установка зависимостей
cd /work
pip3 install -r tests/requirements.txt

# Запуск pytest
python3 -m pytest tests/ -v

Résultat attendu : 5 réussis

3.4 Lancement des outils d'analyse

Analyse statique

# Анализ символов (nm)
nm -C liblzma.a | grep -iE "ssh|backdoor|hook|init"

# Cppcheck
cppcheck --enable=all --inconclusive src/liblzma 2> reports/cppcheck_log.txt

Analyse dynamique

# AddressSanitizer (сборка с флагами)
cmake .. -DCMAKE_C_FLAGS="-fsanitize=address -g"

# Valgrind
valgrind --leak-check=full ./exploit/test_trigger

# AFL++ Fuzzing (30 минут)
timeout 1800 afl-fuzz -i fuzzing/inputs -o fuzzing/outputs -- ./exploit/test_trigger_afl @@

Structure du projet

.
├── Dockerfile                    # Docker-образ
├── README.md                     # Этот файл
├── Report_Final.pdf              # Финальный отчёт
├── docs/
│   ├── ThreatModel.md            # Модель угроз
│   └── threat_model.png          # Диаграмма
├── exploit/
│   ├── PoC.py                    # Proof-of-Concept
│   ├── test_trigger.c            # Тест для ASAN/AFL++
│   ├── test_trigger              # Бинарник
│   └── test_trigger_afl          # Инструментированный бинарник
├── tests/
│   ├── src/
│   │   └── test_cve2024_3094.py  # Автотесты
│   ├── CMakeLists.txt            # Конфигурация тестов
│   └── requirements.txt          # Python зависимости
├── reports/
│   ├── Findings.xlsx             # Таблица находок
│   ├── asan_test_output.txt      # Логи ASAN
│   ├── valgrind_log.txt          # Логи Valgrind
│   ├── cppcheck_log.txt          # Логи Cppcheck
│   ├── afl_fuzzing_log.txt       # Логи AFL++
│   └── version_*.txt             # Версии сборок
└── presentation/
    └── slides.md                 # Слайды презентации