Tests d’intrusion et audits informatiques à l’international

DPDIGITPOLCyber Testing & Auditing
Actualités

Attaque de la chaîne d’approvisionnement · Mondial · Mars 2024

Porte dérobée XZ Utils (CVE-2024-3094)

Une porte dérobée délibérément introduite dans la bibliothèque de compression XZ a été découverte avant son intégration à la plupart des versions stables de Linux.

Incident

Ce qui s’est passé

Du code malveillant a été introduit dans les archives tar des versions 5.6.0 et 5.6.1 de XZ Utils après des efforts prolongés visant à gagner la confiance des responsables de la maintenance.

La porte dérobée ciblait l’authentification SSH sur certaines distributions Linux.

Un ingénieur a constaté un comportement inhabituel en matière de performances, ce qui a conduit à la découverte du problème et à un retour rapide à la version précédente.

Analyse

Enseignements tirés

Les chaînes d’approvisionnement des logiciels open source dépendent d’un petit nombre de responsables de maintenance.
Les artefacts de livraison doivent être vérifiés par rapport aux dépôts de code source.
La détection des anomalies et la curiosité restent de puissants moyens de défense.

Prévention

Apports des tests d’intrusion

Les évaluations du cloud et des infrastructures examinent les pipelines de compilation, les sources de paquets et le durcissement des services exposés tels que SSH.

Voir le service associé Demander une évaluation

Sources

Synthèse fondée sur des informations accessibles au public. DIGITPOL n’a pas été impliqué dans cet incident.