CVE-2024-3094

CVE-2024-3094 실습 환경 구축 및 보고

CVE-2024-3094 실습

XZ Utils 5.6.0 및 5.6.1에 삽입된 백도어를 실습 환경에서 재현하여, SSH 인증 후킹 여부 및 위험성을 분석하였습니다.

환경

• Host OS : - Windows 11
• Docker : Docker Desktop 28.0.1
• Dockerfile Base Image : debian:experimental-20240311
• liblzama5 version : 5.6.0
• SSH Port : 2222 (root / pw : whs)

Dockerfile

docker-compose.yaml

실습 과정

1. Dockerfile + docker-compose.yaml 작성

2. 컨테이너 빌드 및 실행 docker compose up --build -d

3. SSH 접속을 통해 시스템 접근 ssh root@localhost -p 2222 #password : whs

4. dpkg로 libzma5 버전이 5.6.0임을 확인 dpkg -l | grep libzlma

5. sshd가 liblzma.so 사용 여부 확인 ldd /usr/sbin/sshd | grep lzma

• 출력 없음 -> 이 실습 환경에서는 sshd 바이너리가 liblzma.so와 동적 연결되지 않은 것으로 보이지만, liblzma5 취약 버전이 설치 된 것은 확인 되었다. 또한 PoC 실행 가능성도 확인 가능했다.

6. PoC 스크립트 작성 file name : poc_detect_backdoor.sh

7. 실행 결과 chmod +x poc_detect_backdoor.sh ./poc_detect_backdoor.sh

해당 결과를 통해 컨테이너 내에서 PoC 스크립트가 정상적 실행됨을 확인할 수 있었으며, Dockerfile 및 docker-compose.yaml 만으로 실습 환경이 정상적으로 구성되었음을 입증 가능했습니다.

결론

• XZ 백도어가 포함된 취약 버전을 기반으로 Docker 환경을 구성하고, sshd가 해당 라이브러리를 참조하고 있는지 확인 후, 간단한 PoC 실행으로 동작 검증까지 수행했습니다.
• Dockerfile 및 docker-compose.yaml 만으로 재현 가능함을 확인했습니다.
• 해당 취약점을 보안하는 방법은 취약한 XZ 버전을 제거하거나 패치된 버전으로 업그레이드 하는 방안이 있습니다.