Une porte dérobée malveillante a récemment été découverte dans un composant de l'outil open source XZ Utils, ce qui représente une menace pour certains systèmes Linux. Cette vulnérabilité porte actuellement le numéro de référence CVE-2024-3094.
La plupart des environnements et des applications d'entreprise sont à l'abri de CVE-2024-3094. Toutefois, les systèmes faisant l'objet de mises à jour fréquentes ou ceux situés dans des environnements de test ou de développement peuvent potentiellement être exposés à des risques.
Poursuivez votre lecture pour en savoir plus sur la vulnérabilité CVE-2024-3094 , notamment pour connaître les systèmes concernés et les mesures d'atténuation recommandées.
Qu'est-ce que « CVE-2024-3094 », la porte dérobée de XZ Utils ?
CVE-2024-3094 est l'identifiant de vulnérabilité attribué à une porte dérobée malveillante qui a été découverte dans les versions 5,6,0 et 5,6,1 de XZ Utils, un utilitaire de compression de données présent dans la plupart des distributions Linux. Selon la CISA, ce code malveillant pourrait permettre un accès non autorisé aux systèmes concernés.
Andres Freund, ingénieur logiciel chez Microsoft et développeur PostgreSQL, a identifié cette vulnérabilité alors qu'il enquêtait sur des problèmes de performances SSH d' sous Debian. M. Freund a découvert une porte dérobée intentionnelle dans les versions 5,6,0 et 5,6,1, respectivement publiées en février et en mars.
La vulnérabilité CVE-2024-3094 est actuellement classée comme « critique » dans la base de données nationale des vulnérabilités de l' (), avec un score CVSS de 10,0. Cette vulnérabilité a été confirmée dans plusieurs versions « rolling » et « unstable » d' , et l'on sait que cette porte dérobée cible les systèmes basés sur Debian ou Red Hat répondant à certains critères, notamment :
- Fedora Rawhide
- OpenSUSE Tumbleweed (versions continues)
- Debian 5,51alpha-0.1
- Kali Linux (mise à jour entre mars 26-29 et mars 2024)
Comme l'explique Tanium dans un article d'aide de l' intitulé « CVE-2024-3094 », il s'agit pour l'essentiel de versions alpha ou de mises à jour continues, par opposition à des versions stables destinées à la production. Il est possible que d'autres référentiels soient concernés.
Dans sa dernière mise à jour, Red Hat indique que les versions de Fedora 40 Linux disponibles sur « ne semblent pas avoir été compromises ». Cependant, la version bêta de Fedora Linux 40 contient deux versions concernées des bibliothèques XZ, à savoir « “xz-libs-5,6,0-1.fc40.x86_64.rpm » et « “xz-libs-5,6,0-2.fc40.x86_64.rpm ».
« Nous pensons que l'injection de code malveillant n'a pas eu d'effet sur ces versions », déclare Red Hat. « Toutefois, par mesure de sécurité, les utilisateurs de Fedora Linux 40 devraient tout de même revenir à une version 5,4 . » Une mise à jour rétablissant la version 5,4.x de xz a récemment été publiée et est désormais accessible aux utilisateurs de Fedora Linux 40 via le système de mise à jour habituel. « Les utilisateurs concernés peuvent forcer la mise à jour en suivant les instructions disponibles à l'adresse sur leur site web. »
Red Hat indique également que l'injection malveillante est dissimulée et incluse dans le package de téléchargement complet, la distribution Git ne contenant pas la macro M4 qui déclenche la compilation du code malveillant.
« Les artefacts de la deuxième étape sont présents dans le dépôt Git afin de permettre l’injection au moment de la compilation, au cas où la macro malveillante M4 serait présente », poursuit Red Hat. « La version malveillante ainsi obtenue perturbe le processus d’authentification dans sshd via systemd. SSH est un protocole couramment utilisé pour se connecter à distance à des systèmes, et sshd est le service qui permet cet accès. Dans certaines circonstances, cette perturbation pourrait permettre à un acteur malveillant de contourner l’authentification sshd et d’obtenir un accès non autorisé à l’ensemble du système à distance. »
Mesures recommandées pour le cours CVE-2024-3094
La CISA recommande aux utilisateurs et aux développeurs de revenir à une version non compromise de XZ Utils, telle que XZ Utils 5,4,6.
Neowin recommande également d'exécuter la commande « xz –version » via SSH afin de vérifier si un système contient des logiciels vulnérables.
Pour les entreprises qui ne sont pas en mesure de revenir à une version non vulnérable des outils XZ, Tanium recommande de désactiver l'accès SSH accessible au public. Les entreprises devraient également envisager de désactiver le protocole SSH sur les terminaux concernés, tout en veillant à ne pas nuire au bon fonctionnement du système.
Comment Tanium peut contribuer à atténuer les risques liés à la porte dérobée XZ Utils
Comme le montre cette vulnérabilité, les cybercriminels ciblent de plus en plus les composants open source pour mener des attaques complexes. Aujourd'hui plus que jamais, les entreprises ont besoin d'une visibilité approfondie sur la chaîne d'approvisionnement logicielle afin d'empêcher les attaques d'avoir un impact sur leurs opérations.
Tanium propose une suite complète d'outils permettant de détecter et de corriger de manière proactive les vulnérabilités telles que la CVE-2024-3094.
- Tanium Guardian est un flux d'informations intégré à la plateforme Tanium XEM, qui propose des alertes en temps réel sur les vulnérabilités ainsi que des mesures correctives, permettant ainsi aux équipes de sécurité de réagir rapidement et efficacement face aux menaces.
- La solution « » de Tanium, qui permet de générer une liste des composants logiciels (SBOM), permet aux clients de Tanium d'identifier immédiatement les vulnérabilités présentes dans la chaîne d'approvisionnement logicielle. SBOM offre une visibilité en temps réel sur les environnements, ce qui améliore la gestion des risques liés à l' des terminaux (s'ouvre dans un nouvel onglet).
- La solution « Tanium Comply » identifie automatiquement les vulnérabilités et les risques liés à la conformité au sein des infrastructures distribuées, et fournit des données permettant de combler les failles de sécurité.
Pour découvrir des vulnérabilités similaires à la CVE-2024-3094, rendez-vous sur notre blog « Emerging Issues » de à l'adresse.
