CVE-2024-3094
CVSS 10 CRITICAL: malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. EPSS 86% (100º percentile).
Vulnerabilità ed exploit · Supply chain
Unit 42 usa XZ Utils e CVE-2024-3094 come prova di un cambio di bersaglio: non basta colpire il software finito, se si avvelena l’input della build il codice malevolo entra nei rilasci a monte, prima che i controlli applicativi lo vedano.
Il trucco è nascondere il backdoor dentro il tarball di release che builder e sviluppatori già si fidano a scaricare e compilare. Da lì il codice viene impastato nei binari come se fosse sorgente legittimo, e la compromissione si diffonde lungo la catena di distribuzione.
Per chi costruisce da source tarball o pacchetti di terzi, il punto debole è quindi nella toolchain di sviluppo e nei suoi input fidati. La scansione delle dipendenze e la patch del solo applicativo possono non bastare, perché l’esposizione nasce prima del deployment e può propagarsi in molti artefatti downstream.
1 fonte · 22 ago
CVSS 10 CRITICAL: malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. EPSS 86% (100º percentile).
Unit 42
Connecting the Dots: Securing the Overlooked Corners of the Software Development Lifecycle (SDLC) Supply Chain
Attackers are targeting CI/CD pipelines and developer tools instead of application code, requiring total SDLC visibility and strict security controls
originalePart of the PlainSec briefing for 2026-08-24
Every edition of this story: XZ Utils mostra che il bersaglio è la build