A Red Hat emitiu um alerta de segurança urgente no dia 30 de Março de 2024 sobre o comprometimento da cadeia de suprimentos de software envolvendo duas versões da biblioteca de compressão de dados XZ Utils (anteriormente conhecida como LZMA Utils), que foram comprometidas com código malicioso. Essa vulnerabilidade, identificada como CVE-2024-3094, apresenta uma gravidade máxima com uma pontuação CVSS de 10.0. As versões afetadas são a 5.6.0, lançada em 24 de fevereiro, e a 5.6.1, lançada em 9 de março.
O processo de compilação da liblzma extrai um arquivo de objeto pré-construído de um arquivo de teste disfarçado no código fonte, resultando em uma biblioteca liblzma modificada que pode interceptar e modificar a interação de dados com essa biblioteca. Essencialmente, o código mal-intencionado tem como alvo o processo do daemon sshd para SSH (Secure Shell) através do systemd, possibilitando, em certas circunstâncias, a quebra da autenticação sshd e o acesso remoto não autorizado ao sistema.
O objetivo final desse backdoor malicioso é injetar código no servidor OpenSSH (SSHD) que opera na máquina vítima, permitindo que atacantes remotos específicos enviem cargas arbitrárias através do SSH, que serão executadas antes da etapa de autenticação, sequestrando assim toda a máquina da vítima. A descoberta e o relatório desse problema foram creditados a Andres Freund, engenheiro da Microsoft e desenvolvedor do PostgreSQL. O código malicioso foi introduzido no Projeto Tukaani no GitHub por um usuário identificado como Jia Tan (JiaT75).
Como medida de precaução, recomenda-se aos usuários do Fedora Linux 40 que regridam para uma build 5.4. Algumas distribuições do Linux impactadas pelo ataque à cadeia de suprimentos incluem Arch Linux, Kali Linux, openSUSE Tumbleweed e openSUSE MicroOS, além de versões experimentais, instáveis e de teste do Debian. A CISA (Agência de Segurança de Infraestrutura e Cibersegurança dos EUA) também emitiu um alerta, instando os usuários a reverterem para uma versão não comprometida do XZ Utils, como a 5.4.6 Stable. O GitHub desativou o repositório XZ Utils mantido pelo Projeto Tukaani devido a uma violação dos termos de serviço do GitHub. Até o momento (2 de Abril de 2024), não há relatos de exploração ativa dessa vulnerabilidade.
Com informações - The Hacker News
