CVE-2024-3094

バージョン5.6.0以降のxzのアップストリームtarballで悪意のあるコードが発見されました。一連の複雑な難読化を経て、liblzmaのビルドプロセスは、ソースコード内に存在する偽装されたテストファイルから事前にビルドされたオブジェクトファイルを抽出し、それがliblzmaコード内の特定の関数を改変するために使用されます。 その結果、修正されたliblzmaライブラリが生成され、このライブラリにリンクされた任意のソフトウェアによって使用され、このライブラリとのデータのやり取りを傍受・改変する可能性があります。このリポジトリには、Kubernetes PodとDockerコンテナが、脆弱性のある非常に新しいバージョンのliblzma5（5.6.0または5.6.1）に対して影響を受けていないかどうかを確認するための、2つのクイックスクリプトが含まれています。

ベースとして使用した検出スクリプトについては、https://www.openwall.com/lists/oss-security/2024/03/29/4 に感謝します。

詳細については以下を確認してください： https://nvd.nist.gov/vuln/detail/CVE-2024-3094 https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27 https://www.theregister.com/2024/03/29/malicious_backdoor_xz/ https://sysdig.com/blog/cve-2024-3094-detecting-the-sshd-backdoor-in-xz-utils/

テスト

実際に脆弱なコンテナをテスト用に探している場合は以下を参照してください： https://hub.docker.com/layers/library/debian/experimental-20240311/images/sha256-81992d9d8eb99b5cde98ba557a38a171e047b222a767dc7ec0ffe0a194b1c469?context=explore

TrivyでSBOMを作成する： trivy image --format cyclonedx --output result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970

liblzma5を確認する： cat result.json | grep liblzma5 "bom-ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "name": "liblzma5", "purl": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "value": "[email protected]" "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970

免責事項

手動スクリプトを使用してコンテナ全体の脆弱性をチェックすることは、情報提供としては有益ですが、Falcoのような包括的なCloud Native Application Protection Platform（CNAPP）が備える拡張性、徹底性、リアルタイムの監視機能には及びません。 CNAPPは、クラウドネイティブスタック全体にわたって自動化された継続的なセキュリティ評価とポリシー適用を提供し、最小限の手動介入でより堅牢なセキュリティ態勢管理を実現します。