Recientemente se ha descubierto una puerta trasera maliciosa en un componente de la herramienta de código abierto XZ Utils, lo que supone una amenaza para algunos sistemas Linux. Actualmente, esta vulnerabilidad se registra con el número CVE-2024-3094.
La mayoría de los entornos y aplicaciones empresariales están a salvo de CVE-2024-3094. No obstante, los sistemas que se actualizan con frecuencia o aquellos que se encuentran en entornos de prueba o de desarrollo podrían estar expuestos a riesgos.
Siga leyendo para obtener más información sobre el CVE-2024-3094 , incluyendo qué sistemas son vulnerables y las medidas de mitigación recomendadas.
¿Qué es « CVE-2024-3094», la puerta trasera de XZ Utils?
CVE-2024-3094 es el identificador de vulnerabilidad asignado a una puerta trasera maliciosa que se descubrió en las versiones 5.6.0 y 5.6.1 de XZ Utils, un servicio de compresión de datos que se incluye en la mayoría de las distribuciones de Linux. Según la CISA, el código malicioso podría permitir el acceso no autorizado a los sistemas afectados.
Andrés Freund, ingeniero de software de Microsoft y desarrollador de PostgreSQL, detectó la vulnerabilidad mientras investigaba unos problemas de rendimiento de SSH en en Debian. Freund descubrió una puerta trasera intencionada en las versiones 5.6.0 y 5.6.1, lanzadas en febrero y marzo, respectivamente.
Actualmente, la vulnerabilidad CVE-2024-3094 tiene una clasificación de gravedad «crítica» en la Base de Datos Nacional de Vulnerabilidades del (), con una puntuación CVSS de 10.0. Se ha confirmado la existencia de esta vulnerabilidad en varias versiones «rolling» e «inestables» de , y se sabe que la puerta trasera afecta a sistemas basados en Debian o Red Hat que cumplan determinados criterios, entre los que se incluyen:
- Fedora Rawhide
- OpenSUSE Tumbleweed (versiones continuas)
- Debian 5.51alpha-0.1
- Kali Linux (actualizado entre marzo de 26-29 y 2024)
Tal y como explica Tanium en un artículo de ayuda de sobre « CVE-2024-3094», se trata, en su mayoría, de versiones alfa o de lanzamiento continuo, en contraposición a las versiones estables y aptas para producción. Es posible que otros repositorios se vean afectados.
En su última actualización, Red Hat afirma que las versiones de Fedora 40 de Linux «no han mostrado indicios de haber sido comprometidas». No obstante, la versión beta de Fedora Linux 40 contiene dos versiones afectadas de las bibliotecas XZ, a saber: « “xz-libs-5.6.0-1.fc40.x86_64.rpm» y « “xz-libs-5.6.0-2.fc40.x86_64.rpm».
«Creemos que la inyección de código malicioso no surtió efecto en estas versiones», afirma Red Hat. «No obstante, los usuarios de Fedora Linux 40 deberían volver a una versión 5.4 por motivos de seguridad. Recientemente se ha publicado una actualización que vuelve a instalar la versión 5.4.x de xz, y ya está disponible para los usuarios de Fedora Linux 40 a través del sistema habitual de actualizaciones. Los usuarios interesados pueden forzar la actualización siguiendo las instrucciones que figuran en « » en su página web.
Red Hat también informa de que la inyección maliciosa está ofuscada y se incluye en el paquete de descarga completo, mientras que en la distribución de Git no figura la macro M4 que activa la compilación del código malicioso.
«Los artefactos de la segunda fase se encuentran en el repositorio Git para la inyección durante la fase de compilación, en caso de que la macro maliciosa M4 esté presente», continúa Red Hat. «La versión maliciosa resultante interfiere en la autenticación de sshd a través de systemd. SSH es un protocolo de uso habitual para conectarse de forma remota a sistemas, y sshd es el servicio que permite dicho acceso. En determinadas circunstancias, esta interferencia podría permitir a un actor malintencionado eludir la autenticación de sshd y obtener acceso no autorizado a todo el sistema de forma remota».
Medidas recomendadas para el CVE-2024-3094
La CISA recomienda a los usuarios y desarrolladores que actualicen XZ Utils a una versión no afectada, como XZ Utils 5.4.6.
Neowin también recomienda ejecutar el comando «xz –version» en SSH para comprobar si un sistema contiene software vulnerable.
Para aquellas empresas que no puedan actualizar las herramientas XZ a una versión que no presente vulnerabilidades, Tanium recomienda desactivar el acceso SSH desde el exterior. Las empresas también deberían plantearse desactivar el protocolo SSH en los terminales afectados, actuando con precaución para evitar que ello afecte al funcionamiento del sistema.
Cómo puede Tanium ayudar a mitigar el riesgo que supone la puerta trasera XZ Utils
Como demuestra esta vulnerabilidad, los autores de amenazas se centran cada vez más en los componentes de código abierto para lanzar ataques complejos. Ahora más que nunca, las empresas necesitan una visibilidad exhaustiva de la cadena de suministro de software para evitar que los ataques afecten a sus operaciones.
Tanium ofrece un conjunto completo de herramientas para detectar y mitigar de forma proactiva vulnerabilidades como la CVE-2024-3094.
- Tanium Guardian es un canal de información de la plataforma Tanium XEM que ofrece alertas de vulnerabilidades en tiempo real y medidas correctivas, lo que permite a los equipos de seguridad responder de forma rápida y eficaz ante las amenazas.
- La Lista de componentes de software (SBOM) de Tanium, , permite a los clientes de Tanium identificar de forma inmediata las vulnerabilidades en la cadena de suministro de software. SBOM ofrece visibilidad en tiempo real de los entornos, lo que mejora la gestión de riesgos de los puntos finales (se abre en una nueva pestaña).
- Tanium Comply identifica automáticamente las vulnerabilidades y los riesgos de incumplimiento normativo en infraestructuras distribuidas, proporcionando datos que permiten eliminar las brechas de seguridad.
Para descubrir vulnerabilidades similares a la CVE-2024-3094, visite nuestro blog «Emerging Issues» de en.
