Технический анализ CVE-2024-3094: бэкдор в цепочке поставок XZ Utils

Видеодемонстрация: https://youtu.be/3xBtabSkusE?si=ChN3nBgybK4nqNLz

Описание:

Подробный технический и архитектурный разбор CVE-2024-3094 (CVSS 10.0, критический уровень) — исторического бэкдора в цепочке поставок open-source, внедрённого в xz-utils / liblzma (версии 5.6.0 и 5.6.1) и обнаруженного в марте 2024 года.

Эта презентация была разработана в качестве итогового проекта курса CS50’s Introduction to Cybersecurity от Гарвардского университета / edX.

👤 Метаданные проекта

Имя студента: Namegabe Mulokwa Victoire
Имя пользователя edX: namegabevictoire01
Имя пользователя GitHub: namegabevictoire01-sys
Дата: 15 сентября 2026 г.
Курс: CS50 Cybersecurity (итоговый проект)

📌 Краткое резюме

В марте 2024 года была обнаружена критическая атака на цепочку поставок внутри xz-utils — фундаментальной утилиты сжатия, используемой в основных дистрибутивах Linux (Debian, Fedora, Ubuntu, Arch, RHEL). Бэкдор, получивший максимальную оценку уязвимости CVSS 10.0, воздействовал на liblzma.so во время компиляции, чтобы перехватывать процессы OpenSSH (sshd), что позволяло выполнять несанкционированный удалённый код (RCE) с полными привилегиями root.

В этом проекте рассматривается полный жизненный цикл уязвимости по пяти ключевым аспектам:

Масштаб и влияние: глобальное присутствие liblzma и ключевые концепции безопасности систем.
Социальная инженерия: двухлетняя кампания внедрения с использованием нескольких личностей, проведённая угрозным субъектом «Jia Tan».
Технические механизмы: обфусцированные тестовые файлы, выполнение m4 во время сборки и перехват символов GNU IFUNC.
Обнаружение и выполнение полезной нагрузки: проверка криптографической подписи (ED448) и обнаружение аномалии Андресом Фройндом.
Системные меры защиты: управление с участием нескольких мейнтейнеров, воспроизводимые сборки и разделение привилегий.

🛠️ Ключевые технические выводы

Социальная инженерия / человеческое внедрение: угрозный субъект в течение 24 месяцев выстраивал доверие за счёт подлинного вклада, а затем использовал скоординированные подставные аккаунты для давления на единственного мейнтейнера, в итоге получив права на административные коммиты и подписание релизов.
Обфускация во время сборки: вредоносные бинарные объекты были скрыты внутри замаскированных тестовых архивов (bad-3-corrupt_lzma2.xz). Внедрённый макрос build-to-host.m4 проверял условия окружения (упаковка для целевой платформы x86_64 Linux), прежде чем извлечь и слинковать полезную нагрузку при генерации бинарного файла.
Перехват OpenSSH через GNU IFUNC: в дистрибутивах Linux с systemd система systemd линкует OpenSSH с liblzma. Бэкдор использовал GNU Indirect Functions (IFUNC) для внедрения в память при динамическом разрешении символов, подменяя RSA_public_decrypt.
Скрытое удалённое выполнение: перехваченная функция проверяла входящие SSH-полезные нагрузки по жёстко заданному ключу ED448. Действительные подписи немедленно запускали выполнение с правами root, не оставляя следов в системных журналах (syslog), тогда как несовпадающие попытки беспрепятственно передавались стандартной аутентификации.

📂 Структура репозитория и проекта

.
├── presentation_slides/     # Высококачественные слайды презентации 16:9 (PNG)
│   ├── slide1_title.png
│   ├── slide2_social_engineering.png
│   ├── slide3_technical_details.png
│   ├── slide4_discovery.png
│   └── slide5_mitigation.png
├── audio_transcripts/      # Транскрипты ИИ-озвучки и сценарии синхронизации
│   └── narration_script.txt
├── README.md                # Документация и описание проекта
└── project_details.txt      # Метаданные сдачи курсового проекта

cs50-cybersecurity-final-project

Популярное