CVE-2024-3094 Ricerca sul backdoor di XZ Utils - visualizzatore della superficie di attacco, controllore di vulnerabilità di sistema e strumento generale di valutazione delle CVE per Linux
Di Nikolaos Natsopoulos, Consulente IAM
Strumento interattivo basato su browser che accompagna il report di ricerca:
"CVE-2024-3094: Compromissione della Supply Chain tramite Ingegneria Sociale e Manipolazione del Sistema di Build in XZ Utils"
10.5281/zenodo.20700609
Nel marzo 2024, una backdoor è stata scoperta in XZ Utils (CVE-2024-3094) pochi istanti prima che potesse raggiungere le distribuzioni Linux stabili in tutto il mondo. Ha ricevuto il punteggio massimo CVSS di 10.0. L'attacco ha coinvolto un contributore fittizio che ha trascorso quasi tre anni infiltrandosi nel progetto prima di inserire codice che avrebbe permesso l'esecuzione remota non autenticata di codice su milioni di server Linux.
Questo strumento fornisce due cose:
Una versione aggiornata del Controllore di Sistema con copertura CVE estesa e funzionalità aggiuntive di valutazione delle vulnerabilità è disponibile nella cartella /CVE-Vulnerability-Assessment-Tool.
Scarica xz-toolkit_Visual_Checker.html e aprilo in qualsiasi browser. Nessuna installazione, nessun server, nessuna connessione internet richiesta. Tutto è contenuto in un singolo file.
Scheda Visualizzatore dell'Attacco - clicca su qualsiasi fase nel pannello di sinistra per scorrere la sequenza temporale dell'attacco. La catena di dipendenze si aggiorna per mostrare esattamente dove si trova il percorso dell'attacco in ogni fase. Le fasi sono codificate a colori: blu per la configurazione, giallo per i segnali di allarme, rosso per l'iniezione, verde per la scoperta e la risposta.
Scheda Controllore di Sistema - esegui questi tre comandi sul sistema che vuoi valutare:
xz --version
ldd /usr/sbin/sshd
systemctl is-active ssh
Incolla l'output nei tre campi e clicca su Analizza Sistema. Lo strumento valuta le cinque condizioni necessarie per lo sfruttamento e restituisce un verdetto con una suddivisione per condizione. Clicca "Visualizza la catena di dipendenze di questo sistema" per vedere il tuo profilo effettivo della libreria visualizzato nel diagramma della catena.
Completamente vulnerabile - Debian Sid con XZ 5.6.1
XZ version:
xz (XZ Utils) 5.6.1
liblzma 5.6.1
sshd dependencies:
libsystemd.so.0 => /lib/x86_64-linux-gnu/libsystemd.so.0
liblzma.so.5 => /lib/x86_64-linux-gnu/liblzma.so.5
libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6
SSH status:
active (running) since Fri 2024-03-29 11:42:01 UTC
Previsto: VULNERABILE - tutte e cinque le condizioni soddisfatte.
Non vulnerabile - Ubuntu LTS con XZ 5.4.6
XZ version:
xz (XZ Utils) 5.4.6
liblzma 5.4.6
sshd dependencies:
libcrypto.so.3 => /lib/x86_64-linux-gnu/libcrypto.so.3
libpam.so.0 => /lib/x86_64-linux-gnu/libpam.so.0
libc.so.6 => /lib/x86_64-linux-gnu/libc.so.6
SSH status:
active (running) since Thu 2024-03-28 09:15:33 UTC
Previsto: NON VULNERABILE - la versione di XZ è sicura, liblzma e libsystemd assenti da sshd.
Non vulnerabile - Arch Linux con XZ 5.6.0 (protetto architetturalmente)
XZ version:
xz (XZ Utils) 5.6.0
liblzma 5.6.0
sshd dependencies:
libcrypto.so.3 => /usr/lib/libcrypto.so.3
libpam.so.0 => /usr/lib/libpam.so.0
libc.so.6 => /usr/lib/libc.so.6
SSH status:
active (running) since Sat 2024-03-30 08:22:11 UTC
Previsto: NON VULNERABILE - XZ 5.6.0 è la versione con backdoor, ma il sistema non è sfruttabile perché Arch Linux non applica la patch sd_notify a OpenSSH, il che significa che liblzma non viene mai collegata in sshd. La vulnerabilità era specifica dell'architettura, non solo della versione.
Tutte e cinque devono essere soddisfatte simultaneamente affinché un sistema sia vulnerabile:
Una scoperta chiave del report di ricerca allegato è che questo attacco rappresenta un nuovo modello di minaccia per i professionisti della gestione delle identità e degli accessi. La backdoor non ha rubato le credenziali né bypassato i controlli di accesso nel senso convenzionale - ha sostituito il meccanismo di autenticazione stesso, operando al di sotto di PAM, RBAC, MFA e Zero Trust. Nessun controllo IAM convenzionale avrebbe prevenuto lo sfruttamento.
Controlli che avrebbero aiutato: approvazione di rilascio multi-partito, controllo delle differenze tra tarball e repository git, monitoraggio dell'integrità binaria in runtime (IMA/dm-verity) e rilevamento delle anomalie sulla latenza di autenticazione SSH.
Copyright (c) 2026 Nikolaos Natsopoulos. Licenza MIT.