SecuriXy.kz

🐭 #события #offense

Бэкдор в утилите xz (CVE-2024-3094) – одна из самых громких новостей последних дней в сфере безопасности;

➖ CVSS: 😀
➖ Версии: 5.6.0 / 5.6.1

➡️Очевидно, что нужно откатываться к менее неприятным версиям, и на этом нам, как пользователям, можно было бы остановиться, но мне хочется разобраться в сути проблемы и в очередной раз обсудить тему человеческого фактора;

🧩 Everything I know about the xz backdoor ⚡️

🧩 Reported Supply Chain Compromise Affecting XZ Utils Data Compression Library, CVE-2024-3094 [CISA]

🧩 Frequently Asked Questions About CVE-2024-3094, A Backdoor in XZ Utils [Tenable]



❓) Что произошло?

  [💻]  Деобфусцированный код:   injected.txt
[✉️] Полное письмо с разбором:
‟backdoor in upstream xz/liblzma leading to ssh server compromise”

Andres Freund, разработчик из Microsoft, сообщил в рассылке oss-security об обнаружении бэкдора в утилите xz, который приводит к компрометации сервера SSH;

Специалист заметил:
🪲 Ошибки valgrind*
🪲 Увеличенное время логина по SSH
🪲 Увеличенное потребление CPU при логине по SSH
💻 А после – что тарболл xz, поставляемый через upstream репозиторий, содержал строку build-to-host.m4#L63, которой не было ни в upstream'ном build-to-host, ни на GitHub;

*К слову, ошибки valgrind были вызваны таким лэйаутом стека, который бэкдор не предусматривал, причём этот недочёт попытались исправить в версии xz 5.6.1;

Оказалось, что происходит инъекция обфусцированного скрипта, который извлёк другой специалист, Florian Weimer, и его исполнение по окончании конфигурации (при некоторых условиях**);

Деобфусцирвав код, выяснилось, что он:

➖Перехватывает выполнение
➖Заменяет crc32_resolve() / crc64_resolve(), которые резолвятся при запуск

е sshd, на другой код, вызывающий _get_cpuid()
➖Производит проверки среды окружения
➖Парсит таблицы символов в память (основная причина замедления)
➖Устанавливает хук в динамический линковщик, ожидая резолва RSA_public_decrypt@...plt и заменяя его значение для указания на другой код бэкдора
➖Вызывает вредоносный код при логине по SSH с помощью ключа + продолжает нормальную аутентификацию

**Замеченные условия эксплуатации:
0️⃣ x86-64 linux
1️⃣ Сборка с помощью gcc + gnu linker
2️⃣ [SSH] Не уста

новлена переменная окружения TERM
3️⃣ [SSH] LD_BIND_NOT != 1
4️⃣ [SSH] argv[0] = /usr/sbin/sshd
5️⃣ [SSH] Не установлены LD_DEBUG, LD_PROFILE
6️⃣ [SSH] Установлен LANG
7️⃣ [SSH] Детектируются некоторые дебаггеры (gdb, rr, ...)



❓) Как так вышло?

[2022] Путь ко внедрению бэкдора начался приблизительно 2 года назад, когда основного разработчика, Lasse Collin, стали обвинять в медленном прогрессе. Пользователь Jigar Kumar настаивал на том, что xz нужен новый мейнтейнер, чтобы развиваться, и требовал смерджить патчи некого Jia Tan, который на добровольной основе контрибьютил в проект;

[2022] Lasse Collin признался незнакомцу, что находится в трудном положении: ментальные проблемы, нехватка рук и ресурсов не дают ему и, следовательно, проекту двигаться вперёд с требуемой скоростью, но, раз Jia Tan вносит вклад, то он, возможно, получит более значимую роль в проекте;

  [✉️]  Полный ответ Lasse Collin для Jigar Kumar:
‟Re: [xz-devel] XZ for Java”

[2023] Jia Tan становится основным контактом вместо Lasse Collin в oss-fuzz – фаззере open source проектов от Google. Он коммитит инфраструктуру, которая будет использована в эскплойте в 2024 году. Автором числится некий Hans Jansen, который, судя по всему, был создан сугубо для этого коммита. Jia Tan создаёт пулл реквест в oss-fuzz, настаивая на отключении некоторых проверок, обуславливая это необходимостью xz в поддержке ifunc;

[2024] Jia Tan изменяет ссылку на проект в oss-fuzz с tukaani.org/xz на xz.tukaani.org/xz-utils и коммитит последние штрихи для бэкдора;


Эта история – причина вспомнить и подумать о насущном:
▪️о ментальном здоровье
▪️об ответственности
▪️о прочих злободневных проблемах, особо острых для open source контрибуции (нехватка рук, ресурсов, мотивации, ...)

➡️Stay safe.

   @HaHacking  🐇

😈 [ Kali Linux @kalilinux ]

The xz package, starting from version 5.6.0 to 5.6.1, was found to contain a backdoor. The impact of this vulnerability affected Kali between March 26th to March 29th. If you updated your Kali installation on or after March 26th, it is crucial to apply the latest updates today:

sudo apt update && sudo apt install --only-upgrade liblzma5

🔗 https://www.helpnetsecurity.com/2024/03/29/cve-2024-3094-linux-backdoor/
🔗 https://www.openwall.com/lists/oss-security/2024/03/29/4
🔗 https://threadreaderapp.com/thread/1773786266074513523.html

🐥 [ tweet ]

⚠️ UPDATE ASAP ⚠️

Привет, [USERNAME] 👨🏻‍💻

🚀 Присоединяйтесь к NAURYZ CTF - уникальному соревнованию по кибербезопасности с различными задачами, связанными с Наурызом и тюркскими мифологиями, организованному командой SPACE и Казахстанской ассоциацией информационной безопасности! Независимо от вашего уровня опыта - будьте вы начинающими или опытными специалистами - у нас есть что-то интересное для каждого.

🔐 Подготовьтесь к более чем 30 задачам, охватывающим различные аспекты кибербезопасности: реверс-инжинирингу, безопасности веб-приложений, OSINT, криптографии, написанию скриптов, разнообразным задачам исключений, форензике и вызовам pwn. Найдите свою страсть и умения в этичном хакерстве!

⏰ Соревнование продлится 24 часа, начиная с 13:00(UTC+5) 16 марта и заканчивая 13:00(UTC+5) 17 марта. У вас будет достаточно времени, чтобы погрузиться в мир этичного хакерства и преодолеть любые вызовы.

💰 Призы будут вручены трем лучшим командам, что добавит дополнительной интриги в соревнование. Кроме того, участники с лучшими решениями, опубликованными в сообществе KAZ CTF, также будут вознаграждены.

Не упустите возможность проверить свои навыки, получить новые знания и поделиться опытом с единомышленниками! Присоединяйтесь к NAURYZ CTF прямо сейчас! 🛡🔍

https://kazctf.kz/home