CVE-2024-3094 の検出方法

Trend MicroのVision One TMAS（CLI）を使用して、コンテナ内のCVE-2024-3094（通称XZバックドア）を検出する手順を順を追って説明します。この脆弱性はコンテナ環境に重大なリスクをもたらしますが、適切なツールと手順を用いることで、これらの脅威を効果的に特定し軽減できます。早速始めましょう。

必要条件

Vision One アカウントをお持ちであること。まだの場合は無料トライアルに今すぐサインアップしてください。
Vision OneでRun artifact scan権限を持つAPIキーを取得し、そのロールをAPIキーに適用していること。
CVE-2024-3094脆弱性を含むコンテナイメージ。テスト用に以下のイメージを使用できます: ghcr.io/felipecosta09/cve-2024-3094:latest。

ステップ1: Vision One TMAS CLI のインストール

CLIをインストールするには、公式ドキュメントの手順に従うか、以下のスクリプトを使用できます:

curl -s -L https://gist.githubusercontent.com/felipecosta09/a3d0cf68f4e85fc53bd6d295c1bb2c5b/raw/fafd525ef1bccfe7a460ec29e5f6d8aca397448a/tmas_install.sh | bash

このスクリプトは、CLIの最新バージョンをダウンロードし、システムにインストールします。

ステップ2: Vision One API KEY で認証する

Vision One API KEYで認証するには、以下のコマンドを使用します:

export TMAS_API_KEY=<your_vision_one_api_key>

ステップ3: コンテナイメージをスキャンする

CLIがインストールされ認証されたので、以下のコマンドを使用してコンテナイメージのCVE-2024-3094脆弱性をスキャンできます:

tmas scan docker:ghcr.io/felipecosta09/cve-2024-3094

このコマンドはスキャン結果を返し、イメージにCVE-2024-3094脆弱性が存在するかどうかを確認できます。

{
  "totalVulnCount": 56,
  "criticalCount": 1,
  "highCount": 0,
  "mediumCount": 4,
  "lowCount": 1,
  "negligibleCount": 43,
  "unknownCount": 7,
  "overriddenCount": 0,
  "findings": {
    "Critical": [
      {
        "name": "liblzma5",
        "type": "deb",
        "version": "5.6.0-0.2",
        "id": "CVE-2024-3094",
        "source": "https://security-tracker.debian.org/tracker/CVE-2024-3094",
        "severity": "Critical",
        "fix": "5.6.1+really5.4.5-1",
        "locations": [
          "/usr/share/doc/liblzma5/copyright",
          "/var/lib/dpkg/info/liblzma5:amd64.md5sums",
          "/var/lib/dpkg/status"
        ],
        "cvssSummaries": [],
        "relatedVulnerabilities": [
          {
            "id": "CVE-2024-3094",
            "source": "https://nvd.nist.gov/vuln/detail/CVE-2024-3094",
            "severity": "Critical",
            "cvssSummaries": [
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              },
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              }
            ]
          }
        ]
      }
    ]

補足: デフォルトのリージョンは us です。別のリージョンを使用している場合は、-r フラグでリージョンを設定できます。詳細については --help フラグも使用できます。

スキャンプロセスの自動化

イメージまたは任意のイメージにCVE-2024-3094脆弱性があるかどうかをさらに簡単に確認したい場合は、スクリプト cve2024-3094.sh を使用できます。このスクリプトはイメージをスキャンし、結果を返します。

./cve2024-3094.sh
Enter the image name and tag
ghcr.io/felipecosta09/cve-2024-3094
Scanning the image ghcr.io/felipecosta09/cve-2024-3094:latest
CVE-2024-3094 IT IS present in the image ghcr.io/felipecosta09/cve-2024-3094:latest

cve-2024-3094