CVE-2024-3094 का तकनीकी विश्लेषण: XZ Utils सप्लाई चेन बैकडोर

वीडियो डेमो: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

विवरण:

CVE-2024-3094 (CVSS 10.0 क्रिटिकल) का गहन तकनीकी और संरचनात्मक विश्लेषण, जो मार्च 2024 में खोजा गया ऐतिहासिक ओपन-सोर्स सप्लाई चेन बैकडोर है, जिसे xz-utils / liblzma (संस्करण 5.6.0 और 5.6.1) में एम्बेड किया गया था।

यह प्रस्तुति हार्वर्ड विश्वविद्यालय / edX द्वारा CS50’s Introduction to Cybersecurity के फाइनल प्रोजेक्ट के रूप में विकसित की गई थी।

---

👤 प्रोजेक्ट मेटाडेटा

• छात्र का नाम: Namegabe Mulokwa Victoire
• edX उपयोगकर्ता नाम: namegabevictoire01
• GitHub उपयोगकर्ता नाम: namegabevictoire01-sys
• दिनांक: 15 सितंबर, 2026
• कोर्स: CS50 Cybersecurity (फाइनल प्रोजेक्ट)

---

📌 कार्यकारी सारांश

मार्च 2024 में, xz-utils के अंदर एक गंभीर सप्लाई चेन हमला खोजा गया, जो एक मौलिक कम्प्रेशन उपयोगिता है जिसका उपयोग प्रमुख Linux वितरणों (Debian, Fedora, Ubuntu, Arch, RHEL) में व्यापक रूप से किया जाता है। अधिकतम भेद्यता स्कोर CVSS 10.0 दिए जाने के साथ, बैकडोर ने OpenSSH (sshd) प्रक्रियाओं को हाईजैक करने के लिए कंपाइलेशन के दौरान liblzma.so को लक्षित किया, जिससे पूर्ण root विशेषाधिकारों के साथ अनधिकृत रिमोट कोड एक्ज़ीक्यूशन (RCE) संभव हो गया।

यह प्रोजेक्ट भेद्यता के पूर्ण जीवनचक्र की पांच प्रमुख आयामों में जांच करता है:

1. दायरा और प्रभाव: liblzma की वैश्विक उपस्थिति और मुख्य सिस्टम सुरक्षा अवधारणाएं।
2. सोशल इंजीनियरिंग: खतरा अभिनेता 'Jia Tan' द्वारा 2 वर्ष का बहु-व्यक्तित्व घुसपैठ अभियान।
3. तकनीकी यांत्रिकी: अस्पष्ट टेस्ट फाइलें, बिल्ड-टाइम m4 निष्पादन, और GNU IFUNC प्रतीक हाईजैकिंग।
4. पहचान और पेलोड निष्पादन: क्रिप्टोग्राफिक हस्ताक्षर सत्यापन (ED448) और Andres Freund की विसंगति खोज।
5. प्रणालीगत शमन: बहु-मेंटेनर शासन, पुनरुत्पादक बिल्ड, और विशेषाधिकार वियोजन।

---

🛠️ प्रमुख तकनीकी निष्कर्ष

• सोशल इंजीनियरिंग / मानव घुसपैठ: खतरा अभिनेता ने 24 महीनों में वास्तविक योगदान के माध्यम से विश्वास स्थापित किया, इससे पहले कि उसने एकमात्र मेंटेनर पर दबाव डालने के लिए समन्वित सॉकपपेट खातों का लाभ उठाया, अंततः प्रशासनिक कमिट और रिलीज़-साइनिंग अनुमतियां प्राप्त कीं।
• बिल्ड-टाइम अस्पष्टता: दुर्भावनापूर्ण बाइनरी ऑब्जेक्ट्स को छद्म टेस्ट अभिलेखागार (bad-3-corrupt_lzma2.xz) के अंदर छिपाया गया था। एक इंजेक्ट किया गया build-to-host.m4 मैक्रो ने बाइनरी जनरेशन के दौरान पेलोड को निकालने और लिंक करने से पहले पर्यावरण स्थितियों (x86_64 Linux लक्ष्य पैकेजिंग) को सत्यापित किया।
• GNU IFUNC के माध्यम से OpenSSH इंटरसेप्शन: systemd-सक्षम Linux वितरणों पर, systemd OpenSSH को liblzma के साथ लिंक करता है। बैकडोर ने डायनामिक प्रतीक समाधान के दौरान मेमोरी में हुक करने के लिए GNU Indirect Functions (IFUNC) का उपयोग किया, RSA_public_decrypt को प्रतिस्थापित किया।
• गुप्त रिमोट निष्पादन: हुक किए गए फ़ंक्शन ने आने वाले SSH पेलोड का मूल्यांकन हार्डकोडेड ED448 कुंजी के विरुद्ध किया। वैध हस्ताक्षरों ने सिस्टम लॉग (syslog) में कोई निशान छोड़े बिना तत्काल root निष्पादन को ट्रिगर किया, जबकि बेमेल प्रयास मानक प्रमाणीकरण के लिए निर्बाध रूप से पारित हो गए।

---

📂 रिपॉजिटरी और प्रोजेक्ट संरचना

.
├── presentation_slides/     # उच्च-रिज़ॉल्यूशन 16:9 प्रस्तुति स्लाइड्स (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # AI वॉयसओवर ट्रांसक्रिप्ट और टाइमिंग स्क्रिप्ट
│   └── narration_script.txt
├── README.md                # प्रोजेक्ट दस्तावेज़ीकरण और सारांश
└── project_details.txt      # कोर्स सबमिशन मेटाडेटा