供應鏈攻擊 · 全球 · 2024年3月

XZ Utils後門 (CVE-2024-3094)

在XZ壓縮函式庫中一個刻意植入的後門在達到大多數穩定版Linux發行版之前被發現。

事件

發生了甚麼

在長時間努力獲取維護者信任後，XZ Utils 釋出版本 5.6.0 和 5.6.1 的 tarball 中被植入惡意代碼。

該後門針對特定 Linux 發行版上的 SSH 認證。

一位工程師注意到異常的效能行為，從而發現問題並迅速回溯。

分析

開源軟件的供應鏈依賴於少數維護者。

發佈的工件應與源代碼庫核對。

異常偵測和好奇心仍然是強大的防禦措施。

預防

雲端和基礎設施評估審查建置管道、套件來源以及公開服務（例如 SSH）的強化。

根據公開資訊提供的摘要。DIGITPOL HK 未參與此事件。