Playbook Ansible per la correzione della vulnerabilità xz-Utils (CVE-2024-3094)

• Questo documento descrive un playbook Ansible progettato per affrontare la vulnerabilità critica (CVE-2024-3094) identificata nelle versioni 5.6.0 e 5.6.1 di xz-Utils. Questa vulnerabilità, classificata come backdoor, consente agli aggressori di ottenere accesso non autorizzato ai sistemi interessati bypassando l'autenticazione SSH.

Contesto: vulnerabilità xz-Utils (CVE-2024-3094)

• Una vulnerabilità critica di tipo backdoor è stata scoperta nelle versioni 5.6.0 e 5.6.1 di xz-Utils il 29 marzo 2024. Questa vulnerabilità consente agli aggressori di bypassare l'autenticazione SSH e ottenere accesso non autorizzato ai sistemi interessati. È fondamentale applicare una patch ai sistemi vulnerabili immediatamente per mitigare i potenziali rischi per la sicurezza.

Playbook Ansible per la correzione

• Il playbook Ansible fornito affronta questa vulnerabilità:

  1. Raccolta dei fatti sui pacchetti: il modulo package_facts raccoglie informazioni sui pacchetti installati, incluse le loro versioni.
  2. Controllo della versione: un modulo debug estrae la versione base del pacchetto xz-utils dai fatti raccolti.
  3. Correzione dei sistemi vulnerabili: il modulo package installa una versione nota sicura (safe_version) di xz-utils se la versione corrente del sistema corrisponde alle versioni vulnerabili (5.6.0 o 5.6.1).

Struttura del Playbook:

• Il playbook è composto da tre file YAML principali:

1. tasks/main.yaml: questo file definisce le attività principali del playbook.

   • Raccoglie i fatti sui pacchetti utilizzando package_facts.
   • Verifica la versione base estratta utilizzando un modulo debug.
   • Installa condizionatamente una versione sicura (safe_version) utilizzando package se il sistema presenta una versione vulnerabile.
   root@kitploit:~

       ---
       - name: Gather package facts
         ansible.builtin.package_facts:
           manager: auto
         register: package_facts
   
       - name: Print the current version of {{ package_name }}
         ansible.builtin.debug:
           var: package_facts.ansible_facts.packages['{{ package_name }}'][0].version.split('-')[0]
         register: version_check
   
       - name: Install safe version of {{ package_name }}
         ansible.builtin.package:
           name: '{{ package_name }}={{ safe_version }}'
           state: present
         when: version_check=={{non_safe_version1}} or version_check=={{non_safe_version2}}
   

2. defaults/main.yaml: questo file definisce le variabili predefinite utilizzate nell'intero playbook.

   • package_name: nome del pacchetto da correggere (impostato su xz-utils).
   • non_safe_version1: prima versione vulnerabile (impostata su 5.6.0).
   • non_safe_version2: seconda versione vulnerabile (impostata su 5.6.1).
   • safe_version: versione nota sicura da installare (impostata su 5.4.6).
   root@kitploit:~

       ---
       package_name: xz-utils
       non_safe_version1: 5.6.0
       non_safe_version2: 5.6.1
       safe_version: 5.4.6
   

3. playbook.yaml: questo file definisce il flusso di esecuzione complessivo.

   • Ha come target un gruppo di host denominato machines.
   • Include il ruolo xz-utils_checkout, che probabilmente contiene attività specifiche per la gestione dell'aggiornamento del pacchetto xz-utils (non fornito qui).

• Seguendo questi passaggi e distribuendo questo playbook, puoi correggere efficacemente la vulnerabilità critica di xz-Utils e proteggere i tuoi sistemi da potenziali accessi non autorizzati.