心机黑客潜伏两年后向XZ添加后门 多个Linux发行版中招影响服务器安全 – 蓝点网
我要评论今天 Linux 社区最关注的心机行版事情就是 xz-utils (以前被称为 LZMA Utils) 项目被植入后门的事情，xz 是黑客后向后门被 Linux 发行版广泛使用的压缩格式之一，xz-utils 是潜伏器安全蓝一个开源项目，2022 年起有个名为 Jia Tan 的两年北塞浦路斯ws无限群发账号开始向该项目贡献代码，然后逐步接手该项目成为项目的添加主要贡献者。
日前该项目被发现存在后门，多个点网这些恶意代码旨在允许未经授权的发服务访问，具体来说影响 xz-utils 5.6.0 和 5.6.1 版中，中招而且这些受影响的影响版本已经被多个 Linux 发行版合并。
简单来说这是心机行版一起供应链投毒事件，攻击者通过上游开源项目投毒，黑客后向后门奥地利ws群发协议最终随着项目集成影响 Linux 发行版，潜伏器安全蓝包括 Fedora Linux 40/41 等操作系统已经确认受该问题影响。两年
恶意代码的添加目的：
RedHat 经过分析后认为，此次黑客添加的多个点网恶意代码会通过 systemd 干扰 sshd 的身份验证，SSH 是奥地利ws群发不死号远程连接系统的常见协议，而 sshd 是允许访问的服务。
在适当的情况下，这种干扰可能会让黑客破坏 sshd 的身份验证并获得整个系统的远程未经授权的访问 (无需 SSH 密码或密钥)。
RedHat 确认 Fedora Linux 40/41、Fedora Rawhide 受该问题影响，奥地利ws蓝标号RHEL 不受影响，其他 Linux 发行版应该也受影响，具体用户可以在开发商网站获取信息。
建议立即停止使用受影响版本：
如果你使用的 Linux 发行版受上述后门程序影响，RedHat 的奥地利ws绿标号建议是无论个人还是商用目的，都应该立即停止使用。
之后请查询 Linux 发行版的开发商获取安全建议，包括检查和删除后门程序、回滚或更新 xz-utils 等。
孤独的开源贡献者问题：
在这里还需要额外讨论一个开源项目的问题，xz-utils 尽管被全世界的 Linux 发行版、压缩软件广泛使用，但在之前只有一名活跃的贡献者在维护这个项目。
这个孤独的贡献者可能因为精力不够或者其他原因，在遇到一名新的贡献者时，随着时间的推移，在获取信任后，这名新贡献者逐渐获得了项目的更多控制权。
实际上这名黑客应该也是精心挑选的项目，知道这种情况下可能更容易获取控制权，于是从 2022 年开始就贡献代码，直到成为主要贡献者后，再实施自己的后门行动。
未来这类针对开源项目的供应链攻击应该还会显著增加，这对整个开源社区来说应该都是头疼的问题。
相关文章
最近CJ2018正式开启，众多新游戏也正式亮相，给玩家们带来了很多期待，天涯明月刀手游高度还原了端游的玩法特色，捏脸系统可以给大家带来新体验，下面最新游戏预告视频有兴趣可以看看。腾讯移动游戏发布会上正2025-05-06
2K旗下流戏《四海兄弟3》，远日公布了该做的齐新人物预报片，本次片中先容了游戏中一名被称为“巫毒女王”的闭头角色卡桑德推。做为带收海天人的尾级，被称为“巫毒女王”的乌人女性卡桑德推是一名颇具气势气度与2025-05-06
浪漫交际，唯爱故里!3DMMO浪漫冒险足游《新剑与邪术》1月即将迎去齐新版本!届时，故里体系将会昌大年夜开启，聘请万千懦妇正在冒险之余，联袂朋友、恋人回家共度夸姣戚闲光阳!更有齐新魂器养成弄法，付与兵2025-05-06
《一起去跳舞》（本每天炫舞）两周年庆倒计时7天 许愿宝箱完整解稀
1月13日，《舞创天团》齐新质料片《一起去跳舞》即将正在齐仄台上线。正在齐新的质料片上线的同时，《一起去跳舞》(本每天炫舞)也将正式迎去两周岁的逝世日!届时，正在《一起去跳舞》(本每天炫舞)的天下中，2025-05-06
这是我的战争是一款非常经典的剧情游戏，这款游戏最近可以免费体验，并且会以3折销售，游戏讲述了一段打动人心的故事，有兴趣的小伙伴可以多多关注一下。为了庆祝新作《寒霜朋克》即将发售，2014年发售的《这是2025-05-06
谷歌正正在为其条记本电脑战役板电脑自研中心措置器CPU）芯片，挨算正在2023年摆布推出尾款CPU。据日经亚洲批评报导，知恋人士流露，谷歌挨算正在2023年摆布推出开用于自家条记本电脑战役板电脑的CP2025-05-06
最新评论