Analisi tecnica di CVE-2024-3094: backdoor nella supply chain di XZ Utils

Video demo: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

Descrizione:

Un'analisi tecnica e architetturale approfondita di CVE-2024-3094 (CVSS 10.0 Critico), la storica backdoor nella supply chain open-source inserita in xz-utils / liblzma (versioni 5.6.0 e 5.6.1) scoperta a marzo 2024.

Questa presentazione è stata sviluppata come progetto finale per CS50's Introduction to Cybersecurity di Harvard University / edX.

👤 Metadati del progetto

Nome dello studente: Namegabe Mulokwa Victoire
Nome utente edX: namegabevictoire01
Nome utente GitHub: namegabevictoire01-sys
Data: 15 settembre 2026
Corso: CS50 Cybersecurity (progetto finale)

📌 Sintesi esecutiva

A marzo 2024 è stato scoperto un grave attacco alla supply chain all'interno di xz-utils, un'utilità di compressione fondamentale utilizzata nelle principali distribuzioni Linux (Debian, Fedora, Ubuntu, Arch, RHEL). Con l'assegnazione del punteggio massimo di vulnerabilità CVSS 10.0, la backdoor prendeva di mira liblzma.so durante la compilazione per dirottare i processi OpenSSH (sshd), consentendo l'esecuzione remota di codice (RCE) non autorizzata con pieni privilegi di root.

Questo progetto esamina l'intero ciclo di vita della vulnerabilità attraverso cinque dimensioni chiave:

Ambito e impatto: diffusione globale di liblzma e concetti fondamentali di sicurezza dei sistemi.
Ingegneria sociale: la campagna di infiltrazione durata 2 anni e condotta con più personalità dall'attore minaccioso 'Jia Tan'.
Meccanica tecnica: file di test offuscati, esecuzione di m4 in fase di build e dirottamento dei simboli GNU IFUNC.
Rilevamento ed esecuzione del payload: verifica della firma crittografica (ED448) e scoperta dell'anomalia da parte di Andres Freund.
Mitigazione sistemica: governance con più manutentori, build riproducibili e separazione dei privilegi.

🛠️ Risultati tecnici principali

Ingegneria sociale / Infiltrazione umana: l'attore minaccioso ha costruito la fiducia nell'arco di 24 mesi attraverso contributi autentici, prima di sfruttare account sockpuppet coordinati per fare pressione sull'unico manutentore, ottenendo infine i permessi di commit amministrativo e di firma delle release.
Offuscamento in fase di build: oggetti binari malevoli erano nascosti all'interno di archivi di test camuffati (bad-3-corrupt_lzma2.xz). Una macro build-to-host.m4 iniettata verificava le condizioni dell'ambiente (target di packaging Linux x86_64) prima di estrarre e collegare il payload durante la generazione del binario.
Intercettazione di OpenSSH tramite GNU IFUNC: sulle distribuzioni Linux con systemd abilitato, systemd collega OpenSSH a liblzma. La backdoor utilizzava le GNU Indirect Functions (IFUNC) per agganciarsi alla memoria durante la risoluzione dinamica dei simboli, sostituendo RSA_public_decrypt.
Esecuzione remota occulta: la funzione agganciata valutava i payload SSH in arrivo rispetto a una chiave ED448 hardcoded. Le firme valide attivavano l'esecuzione immediata come root senza lasciare tracce nei log di sistema (syslog), mentre i tentativi non corrispondenti passavano senza interruzioni all'autenticazione standard.

📂 Repository e struttura del progetto

.
├── presentation_slides/     # High-resolution 16:9 presentation slides (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # AI Voiceover transcripts and timing scripts
│   └── narration_script.txt
├── README.md                # Project documentation and summary
└── project_details.txt      # Course submission metadata

cs50-cybersecurity-final-project

Più Popolari