Recentemente è stata individuata una backdoor dannosa in un componente dello strumento open source XZ Utils, che rappresenta una minaccia per alcuni sistemi Linux . La vulnerabilità è attualmente registrata con il numero CVE-2024-3094.
La maggior parte degli ambienti aziendali e delle applicazioni è al sicuro da CVE-2024-3094. Tuttavia, i sistemi soggetti ad aggiornamenti frequenti o quelli presenti in ambienti di test o di sviluppo potrebbero essere potenzialmente a rischio.
Continui a leggere per saperne di più sulla vulnerabilità CVE-2024-3094 , compresi i sistemi interessati e le misure di mitigazione raccomandate.
Che cos’è CVE-2024-3094, la backdoor di XZ Utils?
CVE-2024-3094 è l'identificativo di vulnerabilità assegnato a una backdoor dannosa individuata nelle versioni 5,6,0 e 5,6,1 di XZ Utils, un servizio di compressione dei dati presente nella maggior parte delle distribuzioni Linux . Secondo la CISA, il codice dannoso potrebbe potenzialmente consentire l’accesso non autorizzato ai sistemi interessati.
Microsoft Andres Freund, ingegnere informatico e sviluppatore di PostgreSQL, ha individuato la vulnerabilità mentre stava analizzando alcuni problemi relativi alle prestazioni SSH di in Debian. Freund ha scoperto una backdoor intenzionale nelle versioni 5,6,0 e 5,6,1, rilasciate rispettivamente a febbraio e a marzo.
Attualmente, la vulnerabilità CVE-2024-3094 è classificata come "critica" nel National Vulnerability Database dell' (), con un punteggio CVSS pari a 10,0. La vulnerabilità è stata confermata in diverse versioni rolling e unstable di , ed è noto che la backdoor prende di mira i sistemi basati su Debian o Red Hat -based che soddisfano determinati criteri, tra cui:
- Fedora Rawhide
- OpenSUSE Tumbleweed (versioni a rilascio continuo)
- Debian 5,51alpha-0.1
- Kali Linux (aggiornato tra il 26-29 e il 2024 marzo)
Come spiega Tanium in un articolo della guida " " disponibile all'indirizzo CVE-2024-3094, si tratta per lo più di versioni alpha o rolling release, anziché di versioni stabili e adatte all'uso in produzione. È possibile che anche altri repository possano subire ripercussioni.
Nel suo ultimo aggiornamento, Red Hat afferma che le build di Fedora 40 Linux “non risultano essere state compromesse”. Tuttavia, la versione beta di Fedora Linux 40 contiene due versioni delle librerie XZ interessate dal problema, ovvero “ “xz-libs-5,6,0-1.fc40.x86_64.rpm” e “ “xz-libs-5,6,0-2.fc40.x86_64.rpm”.
«Riteniamo che l’iniezione di codice dannoso non abbia avuto effetto in queste versioni», afferma Red Hat. “Tuttavia, gli utenti di Fedora Linux 40 dovrebbero comunque effettuare il downgrade a una versione 5,4 per motivi di sicurezza. È stato recentemente pubblicato un aggiornamento che riporta xz alla versione 5,4.x, il quale sta diventando disponibile per gli utenti di Fedora Linux 40 tramite il normale sistema di aggiornamento. Gli utenti interessati possono forzare l’aggiornamento seguendo le istruzioni riportate all’indirizzo “ ” sul sito web.
Red Hat si riferisce inoltre che l’iniezione dannosa è stata offuscata e inclusa nel pacchetto di download completo, mentre nella distribuzione Git manca la macro M4 che attiva la compilazione del codice dannoso.
«I file della seconda fase sono presenti nel repository Git per l’iniezione durante la fase di compilazione, nel caso in cui sia presente la macro dannosa M4 », prosegue Red Hat . “La build dannosa così ottenuta interferisce con l’autenticazione in sshd tramite systemd. SSH è un protocollo comunemente utilizzato per connettersi in remoto ai sistemi, e sshd è il servizio che ne consente l’accesso. In determinate circostanze, tale interferenza potrebbe potenzialmente consentire a un malintenzionato di eludere l’autenticazione di sshd e ottenere accesso non autorizzato all’intero sistema da remoto.”
Azioni raccomandate per il corso CVE-2024-3094
La CISA raccomanda agli utenti e agli sviluppatori di passare a una versione precedente di XZ Utils, non compromessa, come ad esempio XZ Utils 5,4,6.
Neowin consiglia inoltre di eseguire il comando “xz –version” tramite SSH per verificare se un sistema presenta software vulnerabile.
Per le aziende che non sono in grado di effettuare il downgrade degli strumenti XZ a una versione non vulnerabile, Tanium raccomanda di disabilitare l'accesso SSH pubblico. Le aziende dovrebbero inoltre valutare la possibilità di disabilitare SSH sugli endpoint interessati, prestando attenzione a non compromettere il funzionamento del sistema.
In che modo “ Tanium ” può contribuire a mitigare il rischio legato alla backdoor XZ Utils
Come dimostra questa vulnerabilità, gli autori delle minacce prendono sempre più di mira i componenti open source per sferrare attacchi complessi. Oggi più che mai, le aziende necessitano di una visibilità approfondita sulla catena di fornitura del software per impedire che gli attacchi compromettano le operazioni.
Tanium offre una suite completa di strumenti per individuare in modo proattivo Detect e mitigare le vulnerabilità come la CVE-2024-3094.
- Tanium Guardian è un canale informativo della piattaforma XEM Tanium che fornisce avvisi in tempo reale sulle vulnerabilità e indicazioni sulle azioni correttive, consentendo ai team di sicurezza di rispondere in modo rapido ed efficace alle minacce.
- Tanium Software La "Bill of Materials" (SBOM) consente ai clienti di Tanium di individuare immediatamente le vulnerabilità presenti nella catena di fornitura del software. SBOM offre visibilità in tempo reale sugli ambienti, migliorando endpoint la gestione dei rischi (si apre in una nuova scheda).
- Tanium Comply identifica automaticamente le vulnerabilità e i rischi di non conformità nelle infrastrutture distribuite, fornendo dati che consentono di colmare le lacune di sicurezza.
Per scoprire vulnerabilità simili alla CVE-2024-3094, visitate il nostro blog “Emerging Issues” di all’indirizzo.
