Как обнаружить CVE-2024-3094

Я шаг за шагом расскажу о процессе обнаружения CVE-2024-3094, широко известной как XZ Backdoor, в контейнерах с помощью Trend Micro Vision One TMAS (CLI). Эта уязвимость представляет значительный риск для контейнерных сред, и, используя правильные инструменты и процедуры, мы сможем эффективно выявлять и устранять эти угрозы. Давайте начнем.

Требования

• Иметь учетную запись Vision One. Зарегистрируйтесь для бесплатной пробной версии, если у вас её ещё нет!
• API-ключ в Vision One с разрешением Run artifact scan и примените роль к API-ключу;
• Образ контейнера с уязвимостью CVE-2024-3094. Для тестирования вы можете использовать следующий образ: ghcr.io/felipecosta09/cve-2024-3094:latest.

Шаг 1: Установите CLI Vision One TMAS

Чтобы установить CLI, вы можете выполнить шаги из официальной документации или воспользоваться скриптом ниже:

curl -s -L https://gist.githubusercontent.com/felipecosta09/a3d0cf68f4e85fc53bd6d295c1bb2c5b/raw/fafd525ef1bccfe7a460ec29e5f6d8aca397448a/tmas_install.sh | bash

Скрипт загрузит последнюю версию CLI и установит ее в вашу систему.

Шаг 2: Аутентификация с помощью Vision One API KEY

Чтобы аутентифицироваться с помощью Vision One API KEY, используйте следующую команду:

export TMAS_API_KEY=<your_vision_one_api_key>

Шаг 3: Сканирование образа контейнера

Теперь, когда CLI установлен и аутентифицирован, вы можете отсканировать образ контейнера на наличие уязвимости CVE-2024-3094 с помощью следующей команды:

tmas scan docker:ghcr.io/felipecosta09/cve-2024-3094

Команда вернет результаты сканирования, и вы сможете увидеть, содержит ли образ уязвимость CVE-2024-3094.

{
  "totalVulnCount": 56,
  "criticalCount": 1,
  "highCount": 0,
  "mediumCount": 4,
  "lowCount": 1,
  "negligibleCount": 43,
  "unknownCount": 7,
  "overriddenCount": 0,
  "findings": {
    "Critical": [
      {
        "name": "liblzma5",
        "type": "deb",
        "version": "5.6.0-0.2",
        "id": "CVE-2024-3094",
        "source": "https://security-tracker.debian.org/tracker/CVE-2024-3094",
        "severity": "Critical",
        "fix": "5.6.1+really5.4.5-1",
        "locations": [
          "/usr/share/doc/liblzma5/copyright",
          "/var/lib/dpkg/info/liblzma5:amd64.md5sums",
          "/var/lib/dpkg/status"
        ],
        "cvssSummaries": [],
        "relatedVulnerabilities": [
          {
            "id": "CVE-2024-3094",
            "source": "https://nvd.nist.gov/vuln/detail/CVE-2024-3094",
            "severity": "Critical",
            "cvssSummaries": [
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              },
              {
                "cvssVersion": "3.1",
                "cvssAttackVector": "N",
                "cvssAttackComplexity": "L",
                "cvssAvailabilityImpact": "H"
              }
            ]
          }
        ]
      }
    ]

PS.: Регион по умолчанию — us. Если вы используете другой регион, вы можете задать его с помощью флага -r. Для получения дополнительной информации также можно использовать флаг --help.

Автоматизация процесса сканирования

Если вы хотите еще более простой способ узнать, содержит ли ваш образ или любой другой образ уязвимость CVE-2024-3094, вы можете использовать скрипт cve2024-3094.sh. Скрипт отсканирует образ и вернет результаты.

./cve2024-3094.sh
Enter the image name and tag
ghcr.io/felipecosta09/cve-2024-3094
Scanning the image ghcr.io/felipecosta09/cve-2024-3094:latest
CVE-2024-3094 IT IS present in the image ghcr.io/felipecosta09/cve-2024-3094:latest