La faille de sécurité dans XZ Utils sous Linux met en évidence un problème plus large de sécurité de la chaîne d'approvisionnement. Pour y remédier, il est nécessaire d'aller au-delà de l'esprit communautaire.

La découverte d'une violation malveillante de la chaîne logistique des logiciels a une nouvelle fois mis le secteur de la cybersécurité en état d'alerte. Cette vulnérabilité, qui affecte la bibliothèque de compression de données XZ Utils fournie avec les principales distributions Linux, est répertoriée sous le numéro CVE-2024-3094. Elle résulte en fin de compte de l'insertion délibérée d'une porte dérobée par un administrateur système bénévole qui était jusqu'alors considéré comme fiable. Si elle est exploitée avec succès, elle peut permettre l'exécution de code à distance. (RCE), ce qui pourrait gravement compromettre le processus de compilation des logiciels existants.

Heureusement, un autre administrateur a détecté cette menace avant que le code malveillant ne pénètre dans une version stable de Linux, mais cela reste un problème pour les utilisateurs qui ont commencé à exécuter les versions 5.6.0 et 5.6.1 de XZ Utils dans le cadre de Fedora Rawhide, et les organisations doivent appliquer les correctifs de toute urgence.Si cette découverte n'avait pas été faite à temps, le profil de risque aurait probablement été tel que cette attaque aurait été considérée comme l'une des plus destructrices jamais enregistrées, surpassant même celle de SolarWinds.

Le recours à des bénévoles de la communauté pour maintenir des systèmes critiques est largement documenté, mais rarement discuté jusqu'à ce qu'un problème aussi important que celui-ci fasse surface. Leurs efforts inlassables sont essentiels au maintien des logiciels open source, mais cela met en évidence la nécessité de renforcer le contrôle d'accès aux référentiels logiciels, sans parler de l'importance de mettre l'accent sur les techniques et la sensibilisation à la sécurité au niveau des développeurs.

Qu'est-ce que XZ Utils Backdoor et comment peut-on le contrer ?

Le 29 mars, Red Hat a publié une alerte de sécurité urgente. Elle visait à informer les utilisateurs de Fedora Linux 4.0 et Fedora Rawhide que la dernière version de l'outil de compression « XZ » et de la bibliothèque contenait un code malveillant qui semblait avoir été spécialement conçu pour faciliter l'accès non autorisé de tiers. La manière dont ce code malveillant a été introduit fera l'objet d'une étude approfondie. Cependant, il s'agit d'une pratique d'ingénierie sociale sophistiquée et patiente, menée depuis plusieurs années par un acteur malveillant utilisant un pseudonyme. L'attaquant, connu sous le nom de « Gia Tan », a passé plus de deux ans à contribuer légitimement au projet et à la communauté XZ Utils, gagnant ainsi la confiance des autres responsables de maintenance. Grâce à plusieurs comptes fictifs, il a fini par obtenir le statut d'« administrateur de confiance » après avoir sapé la confiance de Lasse Collin, propriétaire du projet bénévole.

‍

‍

Ce scénario inhabituel illustre parfaitement comment des personnes hautement qualifiées sur le plan technique peuvent devenir les victimes de tactiques utilisées à l'encontre de personnes généralement peu informées, ce qui démontre la nécessité d'une formation précise et axée sur les rôles en matière de sécurité. Ce n'est que grâce à la curiosité et à la vivacité d'esprit d'un ingénieur logiciel Microsoft et d'un administrateur PostgreSQL que le backdoor Andresa été découvert et que la version a été rétrogradée, empêchant ainsi ce qui aurait pu être l'attaque de chaîne d'approvisionnement la plus destructrice de l'histoire récente.

La porte dérobée elle-même est officiellement considérée comme la vulnérabilité la plus grave possible. Registre NIST. Initialement, on pensait qu'elle permettrait de contourner l'authentification SSH, mais des investigations supplémentaires ont révélé qu'elle permettait l'exécution de code à distance non authentifié sur des systèmes Linux vulnérables, notamment Fedora Rawhide, Fedora 41, Kali Linux, OpenSUSE Micro OS, OpenSUSE Tumbleweed et certaines versions de Debian.

Jia Tan semble avoir déployé des efforts considérables pour identifier les paquets malveillants. Ces paquets malveillants, lorsqu'ils sont déclenchés pour se configurer eux-mêmes pendant le processus de compilation, interfèrent avec l'authentification SSHD via systemd. Pour clar ifier, dans certaines circonstances, cette interférence permet potentiellement à un attaquant de contourner l'authentification SSHD et d'obtenir un accès non autorisé à distance à l'ensemble du système.

Microsoft a publié des directives complètes pour rechercher les instances d'exploitation et atténuer leur impact, ainsi que les mesures immédiates recommandées par les agences suivantes. Les développeurs et utilisateurs concernés par la CISA doivent rétrograder XZ Utils vers une version non compromise, telle que XZ Utils 5.4.6 Stable.

Il est extrêmement difficile de prévenir ce type d'attaque. En effet, il est particulièrement difficile de prévenir ce type d'attaque, notamment lorsque des composants open source sont utilisés dans les logiciels, car il est difficile d'avoir une certitude et une transparence quant à la sécurité de la chaîne d'approvisionnement. Nous avons déjà corrigé des vulnérabilités accidentelles dans la chaîne d'approvisionnement logicielle, mais il s'avère que ces risques incluent des bogues de sécurité implantés intentionnellement dans le but de compromettre la sécurité open source.

La plupart des développeurs sont très conscients des questions de sécurité, possèdent de solides connaissances en la matière et ne sont pas particulièrement paranoïaques, ce qui ne leur permet pas de se prémunir contre ce type d'attaques. Il faut presque adopter la mentalité des acteurs malveillants. Cependant, les considérations les plus importantes doivent toujours être centrées sur les référentiels de code source suivants. Il est contrôlé en interne (c'est-à-dire qu'il n'est pas open source). Ces informations ne doivent être accessibles qu'aux personnes disposant des compétences de sécurité appropriées et vérifiées. Les experts en sécurité des applications peuvent envisager des paramètres tels que des contrôles de sécurité au niveau des branches, qui permettent uniquement aux développeurs expérimentés en matière de sécurité de valider les modifications dans la branche principale.

Les responsables de maintenance bénévoles sont des héros, mais maintenir la sécurité des logiciels nécessite beaucoup d'efforts.

Pour ceux qui ne sont pas familiers avec le domaine du génie logiciel, il peut être difficile de comprendre le concept selon lequel une communauté dynamique de bénévoles consacre son temps à la maintenance de systèmes critiques. Cependant, c'est une caractéristique du développement open source qui reste une préoccupation majeure pour les professionnels de la sécurité chargés de protéger la chaîne d'approvisionnement.

Les logiciels open source occupent une place importante dans l'écosystème numérique de presque toutes les entreprises. Les mainteneurs de confiance (qui agissent pour la plupart de bonne foi) sont de véritables héros qui poursuivent sans relâche le progrès technologique et l'intégrité, mais il serait absurde de continuer à les laisser isolés.À l'ère du DevSecOps, la sécurité est une responsabilité partagée, et tous les développeurs doivent disposer des connaissances et des outils appropriés pour résoudre les problèmes de sécurité qui peuvent survenir dans le cadre de leur travail. La sensibilisation à la sécurité et les compétences pratiques doivent être irréprochables dans le processus de développement logiciel, et il incombe aux responsables de la sécurité d'influencer le changement au niveau de l'entreprise.

Bâtissez une culture de la sécurité florissante au sein de votre organisation en vous appuyant sur des informations approfondies. Programme de formation Par Secure Code Warrior.