Ders 3.2: xz-utils arka kapısı: ele geçirilmiş bir bakımcı
Mart 2024'te bir Microsoft mühendisi olan Andres Freund, bir Debian test makinesindeki SSH oturum açmalarının olması gerekenden yarım saniye yavaş olduğunu fark etti. Nedeni, projenin aşırı yüklü bakımcısının güvenini yaklaşık iki yılda kazanmış bir katkıcının xz-utils 5.6.0 ve 5.6.1'e eklediği bir arka kapıydı (CVE-2024-3094). Görünen kaynak kodda değil sürüm arşivlerinde saklanan kod, sshd'yi systemd'ye bağlayan dağıtımlarda liblzma üzerinden sshd'ye kancalanıyordu. Kararlı sürümlere ulaşmadan yakalandı. Laboratuvarda Northwind'in paket envanterlerinde sürüm dizgilerine kanmadan arama yapıyor, sshd'nin kütüphaneyi yükleyip yüklemediğini denetliyor ve kapsayıcı SBOM'larını tarıyorsun.
18 dk
Bu derste öğreneceklerin
- xz arka kapısının nasıl eklendiğini ve bulunduğunu açıklamak
- Paket envanterlerinde kesin arama yapmak
- Dağıtımların geri alma sürümlerini tanımak
- Bir hizmetin etkilenen bir kütüphaneyi yükleyip yüklemediğini denetlemek
- Etkilenen kalıpları bulmak için SBOM kullanmak
Temel terimler
- Tedarik zinciri saldırısı
- Başkalarının güvenip kurduğu yazılımı ya da hizmetleri ele geçirmek.
- Bakımcı
- Açık kaynak bir projenin değişikliklerini inceleyen ve sürümlerini yayımlayan kişi.
- Sürüm arşivi (tarball)
- Bir projenin her sürüm için yayımladığı, depodan üretilen ama onunla aynı olmayan arşiv.
- SBOM
- Yazılım Malzeme Listesi: bir yazılımdaki her bileşenin ve sürümün listesi.
- Geri alma sürümü
- Eski, temiz kodu yeni bir sürüm numarasıyla gönderen dağıtım paketi.
← Sertifika Şeffaflığı günlüklerini izlemek · Tüm dersler · Saldırı yüzeyi: bir sisteme açılan her kapı →