供应链攻击 · 全球 · 2024年3月

XZ Utils后门 (CVE-2024-3094)

在XZ压缩函数库中一个刻意植入的后门在达到大多数稳定版Linux发行版之前被发现。

事件

发生了什么

在长时间努力获取维护者信任后，XZ Utils 发布版本 5.6.0 和 5.6.1 的 tarball 中被植入恶意代码。

该后门针对特定 Linux 发行版上的 SSH 认证。

一位工程师注意到异常的性能行为，从而发现问题并迅速回滚。

分析

开源软件的供应链依赖于少数维护者。

发布的工件应与源代码库核对。

异常检测和好奇心仍然是强大的防御措施。

预防

云和基础设施评估审查构建管道、软件包来源以及公开服务（例如 SSH）的强化。

根据公开信息提供的摘要。DIGITPOL HK 未参与此事件。