Kürzlich wurde in einer Komponente des Open-Source-Tools „XZ Utils“ eine bösartige Hintertür entdeckt, die eine Bedrohung für einige Linux-Systeme darstellt. Die Sicherheitslücke wird derzeit unter der Nummer CVE-2024-3094 erfasst.
Die meisten Unternehmensumgebungen und -anwendungen sind vor CVE-2024-3094 geschützt. Systeme, die häufig aktualisiert werden, oder solche in Test- oder Entwicklungsumgebungen könnten jedoch potenziell gefährdet sein.
Lesen Sie weiter, um mehr über CVE-2024-3094 zu erfahren, darunter, welche Systeme anfällig sind und welche Abhilfemaßnahmen empfohlen werden.
Was ist „ CVE-2024-3094“, die XZ Utils-Hintertür?
CVE-2024-3094 ist die Schwachstellen-Kennung, die einer bösartigen Hintertür zugewiesen wurde, die in den Versionen 5,6,0 und 5,6,1 von XZ Utils entdeckt wurde, einem Dienst zur Datenkomprimierung, der in den meisten Linux-Distributionen enthalten ist. Laut der CISA- könnte der Schadcode potenziell unbefugten Zugriff auf die betroffenen Systeme ermöglichen.
Andres Freund, Softwareentwickler bei Microsoft und PostgreSQL-Entwickler, entdeckte die Sicherheitslücke bei der Untersuchung von SSH-Leistungsproblemen unter in Debian. Freund entdeckte eine absichtlich eingebaute Hintertür in den Versionen 5,6,0 und 5,6,1, die im Februar bzw. März veröffentlicht wurden.
CVE-2024-3094 wird derzeit in der National Vulnerability Database des „ “ (NVD) unter als „kritisch“ eingestuft und weist einen CVSS-Wert von 10,0 auf. Die Sicherheitslücke wurde in mehreren „Rolling“- und „Unstable“-Versionen von bestätigt, und es ist bekannt, dass die Hintertür auf Debian- oder Red Hat-basierte Systeme abzielt, die bestimmte Kriterien erfüllen, darunter:
- Fedora Rawhide
- OpenSUSE Tumbleweed ( fortlaufende Veröffentlichungen)
- Debian 5,51alpha-0.1
- Kali Linux (aktualisiert zwischen März 26-29 und 2024)
Wie Tanium in einem Hilfeartikel unter „ “ zum Thema „ CVE-2024-3094“ erläutert, handelt es sich hierbei größtenteils um Alpha- bzw. Rolling-Releases und nicht um stabile, produktionsreife Versionen. Es ist möglich, dass auch andere Repositorien davon betroffen sind.
In seinem jüngsten Update erklärt Red Hat, dass die unter aufgeführten Fedora 40 -Linux-Builds „nachweislich nicht kompromittiert wurden“. Fedora Linux 40 Beta enthält jedoch zwei betroffene Versionen der XZ-Bibliotheken, darunter „ “xz-libs-5,6,0-1.fc40.x86_64.rpm“ und „ “xz-libs-5,6,0-2.fc40.x86_64.rpm“.
„Wir gehen davon aus, dass die Einschleusung des Schadcodes in diesen Builds keine Auswirkungen hatte“, so Red Hat. „Benutzer von Fedora Linux 40 sollten jedoch vorsichtshalber auf eine 5,4 er-Version zurückstufen. Kürzlich wurde ein Update veröffentlicht, das xz auf die Version 5,4.x zurücksetzt; dieses steht den Nutzern von Fedora Linux 40 nun über das normale Update-System zur Verfügung. Betroffene Nutzer können das Update erzwingen, indem sie die Anweisungen unter „ “ auf der Website befolgen.
Red Hat berichtet zudem, dass die bösartige Einfügung verschleiert und im vollständigen Download-Paket enthalten ist, wobei in der Git-Distribution das Makro „ M4 “ fehlt, das die Erstellung des Schadcodes auslöst.
„Die Artefakte der zweiten Stufe befinden sich im Git-Repository für die Einfügung während der Erstellungsphase, falls das schädliche M4 -Makro vorhanden ist“, fährt Red Hat fort. „Die daraus resultierende bösartige Version beeinträchtigt die Authentifizierung in sshd über systemd. SSH ist ein weit verbreitetes Protokoll für die Fernverbindung zu Systemen, und sshd ist der Dienst, der diesen Zugriff ermöglicht. Unter bestimmten Umständen könnte diese Beeinträchtigung es einem Angreifer potenziell ermöglichen, die sshd-Authentifizierung zu umgehen und sich aus der Ferne unbefugten Zugriff auf das gesamte System zu verschaffen.“
Empfohlene Maßnahmen für CVE-2024-3094
Die CISA empfiehlt Anwendern und Entwicklern, XZ Utils auf eine nicht kompromittierte Version wie beispielsweise XZ Utils 5,4,6 zurückzustufen.
Neowin empfiehlt außerdem, den Befehl „xz –version“ über SSH auszuführen, um zu überprüfen, ob auf einem System anfällige Software installiert ist.
Für Unternehmen, die die XZ-Tools nicht auf eine nicht anfällige Version zurücksetzen können, empfiehlt Tanium, den öffentlich zugänglichen SSH-Zugang zu deaktivieren. Unternehmen sollten zudem in Erwägung ziehen, SSH auf den betroffenen Endgeräten zu deaktivieren, wobei sie darauf achten sollten, dass die Systemfunktionalität nicht beeinträchtigt wird.
Wie Tanium dazu beitragen kann, das Risiko durch die „XZ Utils“-Backdoor zu mindern
Wie diese Sicherheitslücke zeigt, nehmen Angreifer zunehmend Open-Source-Komponenten ins Visier, um komplexe Angriffe durchzuführen. Mehr denn je benötigen Unternehmen einen umfassenden Einblick in die Software-Lieferkette, um zu verhindern, dass Angriffe den Geschäftsbetrieb beeinträchtigen.
Tanium bietet eine umfassende Palette an Tools zur proaktiven Erkennung und Behebung von Sicherheitslücken wie CVE-2024-3094.
- Tanium Guardian ist ein Informationsfeed innerhalb der Tanium XEM-Plattform, der Schwachstellenwarnungen und Abhilfemaßnahmen in Echtzeit bereitstellt – so können Sicherheitsteams schnell und effektiv auf Bedrohungen reagieren.
- Die Tanium-Software-Stückliste (SBOM) ermöglicht es Tanium-Kunden, Schwachstellen in der Software-Lieferkette umgehend zu erkennen. SBOM bietet Echtzeit-Transparenz in Umgebungen und verbessert so das Endpunkt -Risikomanagement (wird in einem neuen Tab geöffnet).
- Tanium Comply identifiziert automatisch Sicherheitslücken und Compliance-Risiken in verteilten Infrastrukturen und liefert Daten zur Beseitigung von Sicherheitslücken.
Um ähnliche Sicherheitslücken wie die Nr. CVE-2024-3094 zu entdecken, besuchen Sie unseren „Emerging Issues“-Blog unter.
