teyhouse/cve-2024-3094Controllo vulnerabilità K8S e Docker per CVE-2024-3094
Codice malevolo è stato scoperto nei tarball upstream di xz, a partire dalla versione 5.6.0. Attraverso una serie di complesse offuscazioni, il processo di build di liblzma estrae un file oggetto precompilato da un file di test camuffato presente nel codice sorgente, che viene poi utilizzato per modificare specifiche funzioni nel codice di liblzma.
Questo produce una libreria liblzma modificata che può essere usata da qualsiasi software collegato a questa libreria, intercettando e modificando l'interazione dei dati con essa. Questa repository contiene due script rapidi per verificare i tuoi Pod Kubernetes e i tuoi container Docker rispetto alla recentissima versione vulnerabile di liblzma5 - 5.6.0 o 5.6.1.
Crediti a https://www.openwall.com/lists/oss-security/2024/03/29/4 per lo script di rilevamento che ho usato come base.
Per maggiori dettagli, controlla:
https://nvd.nist.gov/vuln/detail/CVE-2024-3094
https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
https://www.theregister.com/2024/03/29/malicious_backdoor_xz/
https://sysdig.com/blog/cve-2024-3094-detecting-the-sshd-backdoor-in-xz-utils/
Se stai cercando un container reale vulnerabile per testare:
https://hub.docker.com/layers/library/debian/experimental-20240311/images/sha256-81992d9d8eb99b5cde98ba557a38a171e047b222a767dc7ec0ffe0a194b1c469?context=explore
Crea un SBOM con Trivy:
trivy image --format cyclonedx --output result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
Controlla la presenza di liblzma5:
cat result.json | grep liblzma5 "bom-ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "name": "liblzma5", "purl": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "value": "[email protected]" "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970
L'uso di script manuali per verificare le vulnerabilità nei container, sebbene informativo, non è ottimale e non ha la scalabilità, la completezza e le capacità di monitoraggio in tempo reale di una piattaforma completa di protezione delle applicazioni cloud native (CNAPP) come Falco.
Le CNAPP offrono una valutazione della sicurezza automatizzata e continua e l'applicazione delle policy in tutto il tuo stack cloud-native, garantendo una gestione più solida della postura di sicurezza con un intervento manuale minimo.
