Vulnerabilità · 52 giorni fa

XZ Utils mostra che il bersaglio è la build

Unit 42 usa XZ Utils e CVE-2024-3094 come prova di un cambio di bersaglio: non basta colpire il software finito, se si avvelena l’input della build il codice malevolo entra nei rilasci a monte, prima che i controlli applicativi lo vedano.

Il trucco è nascondere il backdoor dentro il tarball di release che builder e sviluppatori già si fidano a scaricare e compilare. Da lì il codice viene impastato nei binari come se fosse sorgente legittimo, e la compromissione si diffonde lungo la catena di distribuzione.

Per chi costruisce da source tarball o pacchetti di terzi, il punto debole è quindi nella toolchain di sviluppo e nei suoi input fidati. La scansione delle dipendenze e la patch del solo applicativo possono non bastare, perché l’esposizione nasce prima del deployment e può propagarsi in molti artefatti downstream.

CVE-2024-3094

NVD KEV

CVSS 10 CRITICAL: malicious code was discovered in the upstream tarballs of xz, starting with version 5.6.0. EPSS 86% (100º percentile).

Cronologia

22 ago Segnalato da Unit 42

Fonti

1 fonte che coprono questa storia

Unit 42 22 ago
Connecting the Dots: Securing the Overlooked Corners of the Software Development Lifecycle (SDLC) Supply Chain
Attackers are targeting CI/CD pipelines and developer tools instead of application code, requiring total SDLC visibility and strict security controls

Entità

CVE-2024-3094

Part of the PlainSec briefing for 2026-08-24

Editions

Storie correlate

Vulnerabilità · 52 giorni faXZ Utils mostra che il bersaglio è la buildUnit 42 usa XZ Utils e CVE-2024-3094 come prova di un cambio di bersaglio: non basta colpire il software finito, se si avvelena l’input della build il codice malevolo entra nei rilasci a monte, prima che i controlli applicativi lo vedano.Il trucco è nascondere il backdoor dentro il tarball di release che builder e sviluppatori già si fidano a scaricare e compilare. Da lì il codice viene impastato nei binari come se fosse sorgente legittimo, e la compromissione si diffonde lungo la catena di distribuzione.Per chi costruisce da source tarball o pacchetti di terzi, il punto debole è quindi nella toolchain di sviluppo e nei suoi input fidati. La scansione delle dipendenze e la patch del solo applicativo possono non bastare, perché l’esposizione nasce prima del deployment e può propagarsi in molti artefatti downstream.