CVE-2024-3094: Infezione di xz nella supply chain

Malware in xz 5.6.0+: processo build compromesso altera liblzma e software dipendenti. CVSS 10,0, critico.

CVE-2024-3094 è una vulnerabilità di supply chain nella libreria di compressione xz. A partire dalla versione 5.6.0, il processo di build upstream contiene codice maligno che modifica funzioni critiche in liblzma. Durante la compilazione un object file precompilato viene estratto e usato per alterare il codice. Qualsiasi software collegato a questa libreria compromessa (SSH, VPN, backup) può avere i propri dati intercettati e modificati.

La vulnerabilità porta un CVSS di 10,0 (massimo) ed è classificata come critica. È stata scoperta e resa pubblica il 29 marzo 2024 dai ricercatori di sicurezza. L'obfuscation del codice maligno è sofisticata: gli attaccanti hanno incorporato l'object file in un test tarball mascherato nel repository, rendendo difficile la detection tramite review manuale del codice sorgente. Oggi segnali sociali segnalano menzioni di prove di concetto, anche se questi segnali rimangono non verificati ufficialmente. Rimane uno dei più gravi compromessi di infrastruttura open source documentati.

Per i difensori, le priorità sono immediate: 1) Inventariare sistemi con xz 5.6.0+, specialmente server critici (SSH gateway, VPN, backup). 2) Verificare l'integrità di liblzma.so con checksum ufficiali del progetto xz. 3) Aggiornare urgentemente a versioni post-compromesso. 4) Monitorare log e reti per anomalie di intercettazione dati. La ricerca di sfruttamento attivo è consigliata come priorità di patching immediato.

In sintesi

Cosa: Iniezione di codice maligno nel processo di build upstream di xz a partire dalla versione 5.6.0. Il processo di build estrae un object file precompilato da un file di test mascherato nel codice sorgente, poi lo usa per modificare funzioni specifiche in liblzma. Qualsiasi software collegato a questa libreria compromessa può avere i dati intercettati e modificati.
Gravità: CVSS 10,0 (massimo). Dichiarato come critico. L'impatto è su supply chain globale: colpisce ogni software che usa liblzma compromessa, incluso SSH, VPN e molti strumenti di compressione e backup.
Versioni interessate: xz dalla versione 5.6.0 in poi nel tarball upstream. Qualsiasi distribuzione Linux o software che abbia incorporato questi tarball durante il build.
Correzione: Necessario aggiornamento a versione di xz successiva al compromesso (post 5.6.x con patch di rimozione del codice maligno). Verificare l'integrità della propria installazione di liblzma contro hash ufficiali.
Stato: Pubblicato in NVD il 29 marzo 2024. Segnali sociali indicano menzioni di prove di concetto, ma rimangono non verificati ufficialmente in termini di exploit pubblici.
Azione: 1) Inventariare tutti i sistemi con xz 5.6.0+; 2) Verificare l'integrità di liblzma.so contro hash ufficiali; 3) Aggiornare xz a versione corretta immediatamente; 4) Monitorare software critico per comportamenti anomali di intercettazione dati.

Fonti: NVD, CVE-2024-3094

← Tutti gli articoli