xz-Utils 취약점(CVE-2024-3094) 패치를 위한 Ansible 플레이북

• 이 문서는 xz-Utils 버전 5.6.0 및 5.6.1에서 발견된 심각한 취약점(CVE-2024-3094)을 해결하기 위한 Ansible 플레이북을 설명합니다. 백도어로 분류된 이 취약점은 SSH 인증을 우회하여 공격자가 영향을 받는 시스템에 무단 액세스할 수 있도록 합니다.

배경: xz-Utils 취약점(CVE-2024-3094)

• 2024년 3월 29일, xz-Utils 버전 5.6.0 및 5.6.1에서 심각한 백도어 취약점이 발견되었습니다. 이 취약점은 공격자가 SSH 인증을 우회하여 영향을 받는 시스템에 무단 액세스할 수 있게 합니다. 잠재적인 보안 위험을 완화하기 위해 취약한 시스템을 즉시 패치하는 것이 중요합니다.

패치를 위한 Ansible 플레이북

• 제공된 Ansible 플레이북은 다음 단계를 통해 이 취약점을 해결합니다:

  1. 패키지 정보 수집: package_facts 모듈이 설치된 패키지의 버전 정보를 수집합니다.
  2. 버전 확인: debug 모듈이 수집된 정보에서 xz-utils 패키지의 기본 버전을 추출합니다.
  3. 취약 시스템 패치: 시스템의 현재 버전이 취약한 버전(5.6.0 또는 5.6.1)과 일치하는 경우 package 모듈이 알려진 안전 버전(safe_version)의 xz-utils를 설치합니다.

플레이북 구조:

• 플레이북은 세 개의 주요 YAML 파일로 구성됩니다:

1. tasks/main.yaml: 이 파일은 플레이북의 핵심 작업을 정의합니다.

   • package_facts를 사용하여 패키지 정보를 수집합니다.
   • debug 모듈을 사용하여 추출된 기본 버전을 확인합니다.
   • 시스템이 취약한 버전을 가지고 있는 경우 package를 사용하여 조건부로 안전 버전(safe_version)을 설치합니다.
   root@kitploit:~

       ---
       - name: Gather package facts
         ansible.builtin.package_facts:
           manager: auto
         register: package_facts
   
       - name: Print the current version of {{ package_name }}
         ansible.builtin.debug:
           var: package_facts.ansible_facts.packages['{{ package_name }}'][0].version.split('-')[0]
         register: version_check
   
       - name: Install safe version of {{ package_name }}
         ansible.builtin.package:
           name: '{{ package_name }}={{ safe_version }}'
           state: present
         when: version_check=={{non_safe_version1}} or version_check=={{non_safe_version2}}
   

2. defaults/main.yaml: 이 파일은 플레이북 전체에서 사용되는 기본 변수를 정의합니다.

   • package_name: 패치할 패키지 이름 (xz-utils로 설정).
   • non_safe_version1: 첫 번째 취약 버전 (5.6.0으로 설정).
   • non_safe_version2: 두 번째 취약 버전 (5.6.1로 설정).
   • safe_version: 설치할 알려진 안전 버전 (5.4.6으로 설정).
   root@kitploit:~

       ---
       package_name: xz-utils
       non_safe_version1: 5.6.0
       non_safe_version2: 5.6.1
       safe_version: 5.4.6
   

3. playbook.yaml: 이 파일은 전체 실행 흐름을 정의합니다.

   • machines라는 호스트 그룹을 대상으로 합니다.
   • xz-utils_checkout 역할을 포함하며, 이 역할은 xz-utils 패키지 업데이트 처리를 위한 특정 작업을 포함할 것으로 예상됩니다(여기에 제공되지 않음).
   root@kitploit:~

       ---
       - name: patch xz-utils
         hosts: machines
         roles:
           - xz_utils_patch
   

• 이 단계를 따라 이 플레이북을 배포하면 심각한 xz-Utils 취약점을 효과적으로 패치하고 잠재적인 무단 액세스로부터 시스템을 보호할 수 있습니다.