Análise Técnica da CVE-2024-3094: Backdoor na Cadeia de Suprimentos do XZ Utils

Demonstração em Vídeo: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

Descrição:

Uma análise técnica e arquitetural aprofundada da CVE-2024-3094 (CVSS 10.0 Crítica), a histórica backdoor de cadeia de suprimentos de código aberto embutida no xz-utils / liblzma (versões 5.6.0 e 5.6.1) descoberta em março de 2024.

Esta apresentação foi desenvolvida como Projeto Final para o curso CS50's Introduction to Cybersecurity da Universidade de Harvard / edX.

👤 Metadados do Projeto

Nome do Estudante: Namegabe Mulokwa Victoire
Nome de Usuário edX: namegabevictoire01
Nome de Usuário GitHub: namegabevictoire01-sys
Data: 15 de setembro de 2026
Curso: CS50 Cybersecurity (Projeto Final)

📌 Resumo Executivo

Em março de 2024, foi descoberto um ataque crítico à cadeia de suprimentos dentro do xz-utils, um utilitário de compressão fundamental utilizado em grandes distribuições Linux (Debian, Fedora, Ubuntu, Arch, RHEL). Com a pontuação máxima de vulnerabilidade de CVSS 10.0, a backdoor visava o liblzma.so durante a compilação para sequestrar processos do OpenSSH (sshd), permitindo execução remota de código (RCE) não autorizada com privilégios totais de root.

Este projeto examina o ciclo de vida completo da vulnerabilidade em cinco dimensões principais:

Escopo e Impacto: Pegada global do liblzma e conceitos centrais de segurança de sistemas.
Engenharia Social: A campanha de infiltração de múltiplas personas ao longo de 2 anos conduzida pelo ator de ameaça 'Jia Tan'.
Mecânica Técnica: Arquivos de teste ofuscados, execução de m4 em tempo de build e sequestro de símbolos GNU IFUNC.
Detecção e Execução do Payload: Verificação de assinatura criptográfica (ED448) e a descoberta da anomalia por Andres Freund.
Mitigação Sistêmica: Governança com múltiplos mantenedores, builds reproduzíveis e desacoplamento de privilégios.

🛠️ Principais Descobertas Técnicas

Engenharia Social / Infiltração Humana: O ator de ameaça estabeleceu confiança ao longo de 24 meses por meio de contribuições genuínas antes de usar contas sockpuppet coordenadas para pressionar o único mantenedor, obtendo eventualmente permissões administrativas de commit e de assinatura de releases.
Ofuscação em Tempo de Build: Objetos binários maliciosos foram ocultados dentro de arquivos de teste disfarçados (bad-3-corrupt_lzma2.xz). Uma macro build-to-host.m4 injetada verificava as condições do ambiente (empacotamento para alvo Linux x86_64) antes de extrair e vincular o payload durante a geração do binário.
Interceptação do OpenSSH via GNU IFUNC: Em distribuições Linux com systemd habilitado, o systemd vincula o OpenSSH ao liblzma. A backdoor utilizou GNU Indirect Functions (IFUNC) para se conectar à memória durante a resolução dinâmica de símbolos, substituindo RSA_public_decrypt.
Execução Remota Encoberta: A função sequestrada avaliava payloads SSH recebidos contra uma chave ED448 embutida no código. Assinaturas válidas disparavam execução instantânea como root sem deixar rastros nos logs do sistema (syslog), enquanto tentativas não correspondentes passavam de forma transparente para a autenticação padrão.

📂 Estrutura do Repositório e do Projeto

.
├── presentation_slides/     # Slides da apresentação em 16:9 de alta resolução (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # Transcrições da narração por IA e scripts de temporização
│   └── narration_script.txt
├── README.md                # Documentação e resumo do projeto
└── project_details.txt      # Metadados de submissão do curso

cs50-cybersecurity-final-project

Mais Populares