CVE-2024-3094 Código malicioso en los tarballs de xz y la biblioteca liblzma
Se descubrió código malicioso en los tarballs upstream de xz desde la versión 5.6.0. Mediante ofuscaciones complejas, el proceso de compilación de liblzma extrae un objeto precompilado de un archivo de prueba disfrazado y modifica funciones específicas del código. La biblioteca modificada puede interceptar y alterar la interacción de datos de cualquier software enlazado contra ella.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/1190,9 % · percentil 99
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
Red Hat Red Hat Enterprise Linux 10
Versiones no especificadas.
Red Hat Red Hat Enterprise Linux 6
Versiones no especificadas.
Red Hat Red Hat Enterprise Linux 7
Versiones no especificadas.
Red Hat Red Hat Enterprise Linux 8
Versiones no especificadas.
Red Hat Red Hat Enterprise Linux 9
Versiones no especificadas.
Red Hat Red Hat JBoss Enterprise Application Platform 8
Versiones no especificadas.
Qué hacer
- Verificá si usás Red Hat Enterprise Linux 10.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 10.0 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
Malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0.
Through a series of complex obfuscations, the liblzma build process extracts a prebuilt object file from a disguised test file existing in the source code, which is then used to modify specific functions in the liblzma code. This results in a modified liblzma library that can be used by any software linked against this library, intercepting and modifying the data interaction with this library.
Referencias (20)
- access.redhat.com/security/cve/CVE-2024-3094
- bugzilla.redhat.com/show_bug.cgi?id=2272210
- www.openwall.com/lists/oss-security/2024/03/29/4
- www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users
- www.binarly.io/blog/persistent-risk-xz-utils-backdoor-still-lurking-in-docker-images
- ariadne.space/2024/04/02/the-xz-utils-backdoor-is-a-symptom-of-a-larger-problem/
- arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encry…
- aws.amazon.com/security/security-bulletins/AWS-2024-002/
- blog.netbsd.org/tnf/entry/statement_on_backdoor_in_xz
- boehs.org/node/everything-i-know-about-the-xz-backdoor
- bugs.debian.org/cgi-bin/bugreport.cgi?bug=1068024
- bugs.gentoo.org/928134
- bugzilla.suse.com/show_bug.cgi?id=1222124
- discourse.nixos.org/t/cve-2024-3094-malicious-code-in-xz-5-6-0-and-5-6-1-tarballs/42405
- gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27
- github.com/advisories/GHSA-rxwq-x6h5-x525
- github.com/amlweems/xzbot
- github.com/karcherm/xz-malware
- gynvael.coldwind.pl/?lang=en&id=782
- lists.debian.org/debian-security-announce/2024/msg00057.html
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.