サポートをお願いします

このスクリプトが役に立ち、CVE-2024-3094からシステムを保護するのに貢献したと感じたなら、ぜひスター ⭐ を付けてください。このリポジトリにスターを付けることは、あなたのサポートを示すだけでなく、より多くの人々がこの共同の努力を発見し、サイバーセキュリティ向上の恩恵を受ける助けにもなります。

リポジトリにスターを付けるには、このページ上部の「Star」ボタンをクリックしてください。あなたのサポートに心から感謝します！

デジタル世界をより安全な場所にするためのご協力、ありがとうございます。

CVE-2024-3094 とは

CVE-2024-3094 は、xz ユーティリティの上流 tarball において、バージョン 5.6.0 以降で発見された深刻なセキュリティ脆弱性です。この脆弱性は、複雑な難読化を通じて liblzma のビルドプロセスを操作する悪意のあるコードを含んでいます。

XZ Utils は「ほぼすべての Linux ディストリビューションに存在」します。

ビルド中に、ソースコード内の偽装されたテストファイルからプリビルドされたオブジェクトファイルが抽出されます。このファイルは liblzma コード内の特定の関数を変更し、結果として改ざんされた liblzma ライブラリを生成します。この改変されたライブラリにリンクされたソフトウェアは、データのやり取りを傍受・改変される可能性があり、重大なセキュリティリスクをもたらします。

パッチ適用

これは最重要かつ推奨される緩和策です。ご利用の Linux ディストリビューション提供元がリリースしたパッチ済みバージョンの XZ Utils パッケージにアップデートしてください。これらのアップデートは脆弱性に対処し、バックドアコードを除去します。

CVE-2024-3094 脆弱性チェッカー＆修正ツール

このプロジェクトには、CVE-2024-3094 脆弱性の影響を受ける xz-utils のインストールを特定し修正するためのシンプルなシェルスクリプトが含まれています。xz-utils のバージョン 5.6.0 および 5.6.1 が脆弱であることが判明しており、このスクリプトはそれらを検出し、必要に応じて安全で改ざんされていないバージョン（5.4.6）へのダウングレードを支援します。

Ansible Playbook

多数のサーバーに対してシェルスクリプトを手動で実行するのは時間がかかり、人為的ミスが発生しやすいものです。このスクリプトは、Ansible の自動化機能を活用して、CVE-2024-3094 脆弱性の特定と緩和をより効率的、信頼性高く、スケーラブルに行うために追加で作成されました。

Ansible Playbook スクリプトの詳細はこちらをご覧ください。

概要 v1.2.0 | Ansible Playbook 対応

CVE-2024-3094 は、広く使われている圧縮ツール xz-utils の特定バージョンに見つかった深刻なセキュリティ脆弱性です。このスクリプトは、システムに脆弱なバージョンがインストールされているかどうかを確認し、必要に応じて安全なバージョンをダウンロードしてインストールするよう促すプロセスを自動化します。

検出メカニズムの改善によるセキュリティ強化

• システムのパッケージマネージャーを使ってインストール済みの xz バージョンを問い合わせることでセキュリティを強化し、潜在的に脆弱なバイナリを実行することを避けています。

アップグレード優先アプローチ

• このスクリプトは、安全なバージョンへのダウングレードを検討する前に、まずシステムのパッケージマネージャーを通じて xz を最新の利用可能なバージョンにアップグレードしようと試みます。これにより、システムを最新の xz リリースに保ち、アップグレードが不可能な場合にのみ指定された安定バージョンに頼ります。

OS およびパッケージマネージャーのサポート拡充

• オペレーティングシステムを検出し、適切なパッケージマネージャーを特定する機能を追加しました。Debian ベースのディストリビューション（Kali Linux を含む）向けの apt-get、Red Hat ベースのディストリビューション（CentOS、Fedora、Rocky Linux を含む）向けの dnf または yum、OpenSUSE 向けの zypper に対応しています。

安定バージョンのダウンロード URL を更新

• 安定バージョンの xz を SourceForge から入手するための URL を更新し、より直接的で信頼性の高いダウンロードソースを提供します。

インストールプロセスの改善

• コンパイル＆インストールのアプローチは維持しつつ、将来的にネイティブパッケージ管理を活用できるようにスクリプトを構造化しています。

システム再起動のためのユーザーインタラクション

• 安定バージョンの xz を正常にインストールした後、システムの再起動を促すプロンプトを追加し、変更がシステム全体に適切に適用されるようにしています。

スクリプトのユーザビリティとメッセージング

• スクリプト全体のメッセージを強化し、各ステップの成功または失敗についてユーザーに明確なフィードバックを提供し、必要に応じて手動介入の指示も表示します。

前提条件

このスクリプトを実行する前に、システムに以下がインストールされていることを確認してください。

• wget または curl: xz-utils のソースコードをダウンロードするため。
• コンパイルツール（gcc、make）: xz-utils をソースからビルドするため。
• sudo 権限: 新しくコンパイルされたバージョンの xz-utils をインストールするため。

使い方

1. スクリプトをダウンロード

   まず、このリポジトリをクローンするか、wget または curl を使ってスクリプトを直接ダウンロードします。

2. スクリプトを実行可能にする スクリプトファイルのパーミッションを変更して実行可能にします。

   chmod +x CVE-2024-3094.sh

3. スクリプトを実行する スクリプトを実行します。自動的にシステムの xz-utils バージョンを検出し、脆弱性を修正するプロセスをガイドします。

   ./CVE-2024-3094.sh

   画面の指示に従ってプロセスを完了してください。

手動修正

脆弱性を手動で対処したい場合、またはスクリプトで問題が発生した場合は、スクリプトのコメントに記載されている手順に従って、安全なバージョンの xz-utils をダウンロード、コンパイル、インストールしてください。

プロジェクトへの貢献

このプロジェクトの改善に興味のあるすべての方からの貢献を歓迎します！バグ修正、新機能の追加、ドキュメントの改善、口コミでの宣伝など、どんな助けもありがたく受け付けています。

貢献方法の例：

• バグの報告: バグを見つけた場合は、GitHub で新しいイシューを開いて報告してください。
• 機能改善の提案: このプロジェクトを良くするアイデアがありますか？議論のために新しいイシューを開いて共有してください。
• 変更の送信: 修正や機能を送りたいですか？素晴らしい！リポジトリをフォークし、変更を加えてプルリクエストを送信してください。

はじめに

1. リポジトリをフォーク: このページ右上の「Fork」ボタンをクリックして、リポジトリの自分のコピーを作成します。
2. フォークをクローン:
3. フィーチャーブランチを作成:
4. 変更を加える: 提案する変更や改善を実装します。
5. 変更をコミット:
6. ブランチにプッシュ:
7. プルリクエストを送信: GitHub 上のフォークに移動し、「Pull Request」ボタンをクリックして変更内容をレビューに送ります。

ガイドライン

以下のガイドラインに従って、スムーズで効率的なコントリビューションプロセスを実現してください。

• ライセンス: コントリビュートするコードは、既存のプロジェクトと同じ条件でライセンスされる必要があります。

プロジェクトへのご関心とご協力に感謝します！皆で力を合わせれば、大きなインパクトを生み出せます。

ライセンス

MIT ライセンス

免責事項

このスクリプトは「現状のまま」提供され、いかなる種類の保証もありません。自己責任で使用してください。システム変更の前には必ずデータをバックアップしてください。