用于修补 xz-Utils 漏洞 (CVE-2024-3094) 的 Ansible Playbook

• 本文档详细介绍了一份 Ansible playbook，旨在解决在 xz-Utils 5.6.0 和 5.6.1 版本中发现的严重漏洞 (CVE-2024-3094)。该漏洞被归类为后门，允许攻击者绕过 SSH 身份验证，从而获得对受影响系统的未授权访问。

背景：xz-Utils 漏洞 (CVE-2024-3094)

• 2024 年 3 月 29 日，在 xz-Utils 5.6.0 和 5.6.1 版本中发现了一个严重的后门漏洞。该漏洞允许攻击者绕过 SSH 身份验证并获得对受影响系统的未授权访问。必须立即修补易受攻击的系统以减轻潜在的安全风险。

用于修补的 Ansible Playbook

• 提供的 Ansible playbook 通过以下方式解决此漏洞：

  1. 收集软件包信息：package_facts 模块收集已安装软件包的信息，包括其版本。
  2. 版本检查：debug 模块从收集的信息中提取 xz-utils 软件包的基础版本。
  3. 修补易受攻击的系统：如果系统当前版本与易受攻击的版本（5.6.0 或 5.6.1）匹配，package 模块将安装一个已知安全的版本（safe_version）的 xz-utils。

Playbook 结构：

• playbook 由三个主要的 YAML 文件组成：

1. tasks/main.yaml：此文件定义了 playbook 的核心任务。

   • 使用 package_facts 收集软件包信息。
   • 使用 debug 模块检查提取的基础版本。
   • 如果系统拥有易受攻击的版本，则使用 package 有条件地安装一个安全版本（safe_version）。
   root@kitploit:~

       ---
       - name: 收集软件包信息
         ansible.builtin.package_facts:
           manager: auto
         register: package_facts
   
       - name: 打印 {{ package_name }} 的当前版本
         ansible.builtin.debug:
           var: package_facts.ansible_facts.packages['{{ package_name }}'][0].version.split('-')[0]
         register: version_check
   
       - name: 安装 {{ package_name }} 的安全版本
         ansible.builtin.package:
           name: '{{ package_name }}={{ safe_version }}'
           state: present
         when: version_check=={{non_safe_version1}} or version_check=={{non_safe_version2}}
   

2. defaults/main.yaml：此文件定义了整个 playbook 中使用的默认变量。

   • package_name：要修补的软件包名称（设置为 xz-utils）。
   • non_safe_version1：第一个易受攻击的版本（设置为 5.6.0）。
   • non_safe_version2：第二个易受攻击的版本（设置为 5.6.1）。
   • safe_version：要安装的已知安全版本（设置为 5.4.6）。
   root@kitploit:~

       ---
       package_name: xz-utils
       non_safe_version1: 5.6.0
       non_safe_version2: 5.6.1
       safe_version: 5.4.6
   

3. playbook.yaml：此文件定义了整体执行流程。

   • 它针对一个名为 machines 的主机组。
   • 它包含 xz-utils_checkout 角色，该角色可能包含处理 xz-utils 软件包更新的特定任务（此处未提供）。
   root@kitploit:~

       ---
       - name: 修补 xz-utils
         hosts: machines
         roles:
           - xz_utils_patch
   

• 按照这些步骤部署此 playbook，即可有效修补关键的 xz-Utils 漏洞，保护系统免受潜在的未授权访问。