mightysai1997/cve-2024-3094
È stato scoperto del codice malevolo nei tarball upstream di xz, a partire dalla versione 5.6.0. Attraverso una serie di complesse offuscazioni, il processo di build di liblzma estrae un file oggetto precompilato da un file di test camuffato presente nel codice sorgente, che viene poi utilizzato per modificare funzioni specifiche nel codice di liblzma.
Ciò comporta una libreria liblzma modificata che può essere utilizzata da qualsiasi software collegato a questa libreria, intercettando e modificando l'interazione dei dati con essa. Questo repository contiene due script rapidi per verificare i tuoi Pod Kubernetes e i tuoi Container Docker rispetto alla versione vulnerabile molto recente di liblzma5 - 5.6.0 o 5.6.1.
Crediti a https://www.openwall.com/lists/oss-security/2024/03/29/4 per lo script di rilevamento che ho usato come base.
Per maggiori dettagli, controlla:
https://nvd.nist.gov/vuln/detail/CVE-2024-3094
https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
https://www.theregister.com/2024/03/29/malicious_backdoor_xz/
https://sysdig.com/blog/cve-2024-3094-detecting-the-sshd-backdoor-in-xz-utils/
Se stai cercando un container vulnerabile reale per i test:
https://hub.docker.com/layers/library/debian/experimental-20240311/images/sha256-81992d9d8eb99b5cde98ba557a38a171e047b222a767dc7ec0ffe0a194b1c469?context=explore
Crea un SBOM con Trivy:
trivy image --format cyclonedx --output result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
Controlla la presenza di liblzma5:
cat result.json | grep liblzma5 "bom-ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "name": "liblzma5", "purl": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "value": "[email protected]" "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
L'uso di script manuali per verificare le vulnerabilità nei container, sebbene informativo, non è ottimale e non offre la scalabilità, la completezza e le capacità di monitoraggio in tempo reale di una piattaforma completa per la protezione delle applicazioni cloud-native (CNAPP) come Falco.
Le CNAPP offrono una valutazione della sicurezza automatizzata e continua e l'applicazione delle policy in tutto lo stack cloud-native, garantendo una gestione più solida della postura di sicurezza con un intervento manuale minimo.
