🧠 Panoramica

CVE-2024-3094 è una grave compromissione della catena di approvvigionamento che interessa la libreria di compressione XZ Utils, ampiamente utilizzata.

Un attore malevolo ha inserito una backdoor stealth nelle release upstream, consentendo l'esecuzione di codice in remoto (RCE) tramite una versione manomessa di liblzma.

⚠️ Questa vulnerabilità è considerata uno degli attacchi alla catena di approvvigionamento open-source più sofisticati mai realizzati.

---

🎯 Versioni interessate

Pacchetto	Versioni vulnerabili
XZ Utils	5.6.0, 5.6.1

✔️ Sistemi comunemente colpiti:

• Debian testing/unstable
• Fedora Rawhide
• Alcune distribuzioni rolling-release

---

⚙️ Dettagli tecnici

• Payload malevolo incorporato durante il processo di build
• Prende di mira sshd tramite liblzma
• Sfrutta il comportamento del linking dinamico
• Si attiva in condizioni specifiche per evitare il rilevamento

🔬 Catena di attacco

---

XZ Source → Build System Injection → liblzma Compromise → SSH Hook → RCE

---

🧪 Indicatori di compromissione (IoCs)

• Picchi anomali di CPU in sshd
• Binari liblzma modificati
• Artefatti di build sospetti nell'albero dei sorgenti di XZ

---

🔍 Rilevamento

Verifica della versione installata

xz --version

Ispezione delle librerie collegate

ldd $(which sshd) | grep lzma

---

🛡️ Mitigazione

Azioni immediate

# Downgrade to safe version
sudo apt install xz-utils=5.4.5

oppure:

sudo dnf downgrade xz

Raccomandato

• Reinstallare da fonti attendibili
• Verificare le firme dei pacchetti
• Controllare i log di sistema alla ricerca di anomalie

---

🔐 Stato della correzione

Distribuzione	Stato
Debian	✅ Risolto
Fedora	✅ Risolto
Arch Linux	✅ Risolto

---

📚 Riferimenti

• Avvisi ufficiali
• Blog di ricerca sulla sicurezza
• Bollettini di sicurezza delle distribuzioni

---

⚠️ Disclaimer

Questo repository è destinato esclusivamente a scopi educativi e di sensibilizzazione. Non utilizzare queste informazioni per attività non autorizzate.

---

⭐ Ringraziamenti

Un enorme ringraziamento ai ricercatori di sicurezza che hanno identificato e divulgato questo attacco prima che venisse sfruttato su larga scala.