Ataque a la cadena de suministro · Global · Marzo de 2024
Puerta trasera en XZ Utils (CVE-2024-3094)
Se descubrió una puerta trasera introducida deliberadamente en la biblioteca de compresión XZ antes de que llegara a la mayoría de las versiones estables de Linux.
Incidente
Qué ocurrió
Se introdujo código malicioso en los archivos tar de las versiones 5.6.0 y 5.6.1 de XZ Utils tras un esfuerzo prolongado por ganarse la confianza de los responsables de su mantenimiento.
La puerta trasera afectaba a la autenticación SSH en determinadas distribuciones de Linux.
Un ingeniero detectó un comportamiento inusual en el rendimiento, lo que condujo al descubrimiento y a una rápida reversión de los cambios.
Análisis
Lecciones aprendidas
Prevención
Cómo ayudan las pruebas de penetración
Las evaluaciones de la nube y la infraestructura revisan los procesos automatizados de compilación, las fuentes de paquetes y el bastionado de servicios expuestos como SSH.
Fuentes
Resumen basado en información pública. DIGITPOL no participó en este incidente.