Ansible Playbook para Corrigir a Vulnerabilidade do xz-Utils (CVE-2024-3094)

• Este documento detalha um playbook Ansible projetado para lidar com a vulnerabilidade crítica (CVE-2024-3094) identificada nas versões 5.6.0 e 5.6.1 do xz-Utils. Esta vulnerabilidade, classificada como uma backdoor, concede a atacantes acesso não autorizado a sistemas afetados, contornando a autenticação SSH.

Contexto: Vulnerabilidade do xz-Utils (CVE-2024-3094)

• Uma vulnerabilidade crítica de backdoor foi descoberta nas versões 5.6.0 e 5.6.1 do xz-Utils em 29 de março de 2024. Essa vulnerabilidade permite que atacantes contornem a autenticação SSH e obtenham acesso não autorizado aos sistemas afetados. É crucial corrigir sistemas vulneráveis imediatamente para mitigar possíveis riscos de segurança.

Playbook Ansible para Correção

• O playbook Ansible fornecido trata desta vulnerabilidade por meio de:

  1. Coleta de Fatos de Pacotes: O módulo package_facts coleta informações sobre os pacotes instalados, incluindo suas versões.
  2. Verificação de Versão: Um módulo debug extrai a versão base do pacote xz-utils dos fatos coletados.
  3. Correção de Sistemas Vulneráveis: O módulo package instala uma versão conhecida como segura (safe_version) do xz-utils se a versão atual do sistema corresponder às versões vulneráveis (5.6.0 ou 5.6.1).

Estrutura do Playbook:

• O playbook consiste em três arquivos YAML principais:

1. tasks/main.yaml: Este arquivo define as tarefas principais do playbook.

   • Ele coleta fatos de pacotes usando package_facts.
   • Verifica a versão base extraída usando um módulo debug.
   • Instala condicionalmente uma versão segura (safe_version) usando package se o sistema tiver uma versão vulnerável.

       ---
       - name: Gather package facts
         ansible.builtin.package_facts:
           manager: auto
         register: package_facts
   
       - name: Print the current version of {{ package_name }}
         ansible.builtin.debug:
           var: package_facts.ansible_facts.packages['{{ package_name }}'][0].version.split('-')[0]
         register: version_check
   
       - name: Install safe version of {{ package_name }}
         ansible.builtin.package:
           name: '{{ package_name }}={{ safe_version }}'
           state: present
         when: version_check=={{non_safe_version1}} or version_check=={{non_safe_version2}}
   

2. defaults/main.yaml: Este arquivo define variáveis padrão usadas em todo o playbook.

   • package_name: Nome do pacote a ser corrigido (definido como xz-utils).
   • non_safe_version1: Primeira versão vulnerável (definida como 5.6.0).
   • non_safe_version2: Segunda versão vulnerável (definida como 5.6.1).
   • safe_version: Versão conhecida como segura a ser instalada (definida como 5.4.6).

       ---
       package_name: xz-utils
       non_safe_version1: 5.6.0
       non_safe_version2: 5.6.1
       safe_version: 5.4.6
   

3. playbook.yaml: Este arquivo define o fluxo de execução geral.

   • Ele tem como alvo um grupo de hosts chamado machines.
   • Inclui a role xz-utils_checkout, que provavelmente contém tarefas específicas para lidar com a atualização do pacote xz-utils (não fornecida aqui).

       ---
       - name: patch xz-utils
         hosts: machines
         roles:
           - xz_utils_patch
   

• Seguindo esses passos e implantando este playbook, você pode corrigir efetivamente a vulnerabilidade crítica do xz-Utils e proteger seus sistemas contra possíveis acessos não autorizados.