Ansible Playbook для исправления уязвимости xz-Utils (CVE-2024-3094)

• В этом документе подробно описан Ansible playbook, предназначенный для устранения критической уязвимости (CVE-2024-3094), обнаруженной в xz-Utils версий 5.6.0 и 5.6.1. Эта уязвимость, классифицированная как бэкдор, предоставляет злоумышленникам несанкционированный доступ к затронутым системам, обходя аутентификацию SSH.

Контекст: уязвимость xz-Utils (CVE-2024-3094)

• Критическая уязвимость типа бэкдор была обнаружена в xz-Utils версий 5.6.0 и 5.6.1 29 марта 2024 года. Эта уязвимость позволяет злоумышленникам обходить аутентификацию SSH и получать несанкционированный доступ к затронутым системам. Крайне важно немедленно исправить уязвимые системы, чтобы снизить потенциальные риски безопасности.

Ansible Playbook для исправления

• Предоставленный Ansible playbook устраняет эту уязвимость следующим образом:

  1. Сбор информации о пакетах: модуль package_facts собирает информацию об установленных пакетах, включая их версии.
  2. Проверка версии: модуль debug извлекает базовую версию пакета xz-utils из собранных данных.
  3. Исправление уязвимых систем: модуль package устанавливает известную безопасную версию (safe_version) пакета xz-utils, если текущая версия системы соответствует уязвимым версиям (5.6.0 или 5.6.1).

Структура Playbook:

• Playbook состоит из трех основных YAML-файлов:

1. tasks/main.yaml: Этот файл определяет основные задачи playbook.

   • Он собирает информацию о пакетах с помощью package_facts.
   • Он проверяет извлеченную базовую версию с помощью модуля debug.
   • Он условно устанавливает безопасную версию (safe_version) с помощью package, если система имеет уязвимую версию.
   root@kitploit:~

       ---
       - name: Gather package facts
         ansible.builtin.package_facts:
           manager: auto
         register: package_facts
   
       - name: Print the current version of {{ package_name }}
         ansible.builtin.debug:
           var: package_facts.ansible_facts.packages['{{ package_name }}'][0].version.split('-')[0]
         register: version_check
   
       - name: Install safe version of {{ package_name }}
         ansible.builtin.package:
           name: '{{ package_name }}={{ safe_version }}'
           state: present
         when: version_check=={{non_safe_version1}} or version_check=={{non_safe_version2}}
   

2. defaults/main.yaml: Этот файл определяет переменные по умолчанию, используемые во всем playbook.

• Следуя этим шагам и развертывая этот playbook, вы сможете эффективно исправить критическую уязвимость xz-Utils и защитить свои системы от потенциального несанкционированного доступа.