CS50 Introdução à Cibersegurança – Projeto Final

Estudo de Caso: Backdoor do XZ Utils (CVE-2024-3094)

Este repositório apoia minha apresentação de 7 a 10 minutos sobre o backdoor do XZ Utils, incluindo um resumo do backdoor, o mecanismo do backdoor via tarballs de lançamento e mitigações relevantes da cadeia de suprimentos.

Materiais

• Slides (PDF): A Near-Miss in the Supply Chain: The XZ Utils Backdoor (CVE-2024-3094).pdf
• Referências: ./References.md
• Vídeo (Não listado): link do YouTube

Principais Conclusões

• Tarball ≠ Git: impor paridade artefato–tag na CI; falhar em qualquer incompatibilidade.
• Fortificação da cadeia de suprimentos: atestações (in-toto), SBOMs, SLSA ≥ L3, revisão por duas pessoas.
• Detectar e recuperar: monitorar comportamento anômalo/interposição de símbolos do sshd; manter playbooks de reversão testados.

Resumo do Incidente

• CVE: CVE-2024-3094
• Quando: Março-Abril 2024
• Foco do impacto: risco para autenticação SSH via cadeia de dependência indireta (ex. sshd → libsystemd → liblzma)

Agradecimentos

Andres Freund, estes arquivos reconhecem todos na distribuição que encontraram e remediaram isso.

---

Apresentador: Gianluca Milani,edX: Gianluca25,GitHub: M1lo25
Data de Gravação: 16/10/2025