CVE-2024-3094

Código malicioso foi descoberto nos tarballs upstream do xz, a partir da versão 5.6.0. Através de uma série de ofuscações complexas, o processo de compilação do liblzma extrai um arquivo de objeto pré-construído de um arquivo de teste disfarçado existente no código-fonte, que é então usado para modificar funções específicas no código do liblzma.
Isso resulta em uma biblioteca liblzma modificada que pode ser usada por qualquer software vinculado a esta biblioteca, interceptando e modificando a interação de dados com esta biblioteca. Este repositório contém dois scripts rápidos para verificar seus Pods do Kubernetes e Contêineres Docker contra a versão vulnerável muito recente do liblzma5 - 5.6.0 ou 5.6.1.

Créditos para https://www.openwall.com/lists/oss-security/2024/03/29/4 pelo script de detecção que usei como base.

Para mais detalhes, por favor verifique:
https://nvd.nist.gov/vuln/detail/CVE-2024-3094
https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
https://www.theregister.com/2024/03/29/malicious_backdoor_xz/
https://sysdig.com/blog/cve-2024-3094-detecting-the-sshd-backdoor-in-xz-utils/

Testes

Se você está procurando um contêiner realmente vulnerável para testes:
https://hub.docker.com/layers/library/debian/experimental-20240311/images/sha256-81992d9d8eb99b5cde98ba557a38a171e047b222a767dc7ec0ffe0a194b1c469?context=explore

Crie um SBOM com Trivy:
trivy image --format cyclonedx --output result.json debian:experimental-20240311@sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970

Verifique o liblzma5: cat result.json | grep liblzma5 "bom-ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "name": "liblzma5", "purl": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "value": "[email protected]" "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "ref": "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", "pkg:deb/debian/[email protected]?arch=amd64&distro=debian-trixie%2Fsid", sha256:16cc2b09c44d991d36f63153f13a7c98fb7da6bd2ba9d7cc0f48baacb7484970

Aviso

Usar scripts manuais para verificar vulnerabilidades em contêineres, embora informativo, não é ideal e carece da escalabilidade, abrangência e capacidade de monitoramento em tempo real de uma Plataforma Abrangente de Proteção de Aplicações Nativas da Nuvem (CNAPP) como o Falco.
As CNAPPs oferecem avaliação de segurança automatizada e contínua e aplicação de políticas em toda a sua pilha nativa da nuvem, garantindo uma gestão de postura de segurança mais robusta com intervenção manual mínima.