Bendi新闻
>
Linux 圈 “ 地震 ” :主流压缩工具 XZ 被曝后门,红帽、Debian 等发公告要求紧急停用

Linux 圈 “ 地震 ” :主流压缩工具 XZ 被曝后门,红帽、Debian 等发公告要求紧急停用

3月前

来源IT之家:https://goo.su/UP2j0
Red Hat 公司本周五发布安全公告,在最新的 XZ Utils 数据压缩工具和库中发现了一个后门,敦促用户立即停止使用 Fedora 开发和实验版本。
Red Hat 警告表示:
请立即停止在工作或者个人活动中使用任意 Fedora 41 或者 Fedora RAWHIDE 实例。目前排查结果显示 Red Hat Enterprise Linux(RHEL)没有任何版本受到影响。
我们已经在适用于 Debian unstable(Sid)发行版的 XZ 5.6.x 版本中找到相关证据,证明存在后门,可以注入相关代码。
Debian 安全团队今天也发布公告,表示当前没有发现有稳定版 Debian 使用问题 XZ 软件包,在受影响的 Debian 测试版、不稳定版和实验版中,XZ 已被还原为上游的 5.4.5 代码。
微软软件工程师安德烈斯・弗罗因德(Andres Freund)在一台 Linux 盒子上调查 Debian Sid(Debian 发行版的滚动开发版本) SSH 登录缓慢问题时,发现了这个安全问题。
弗罗因德发现 XZ 格式压缩实用程序 xz-utils 的上游源代码压缩包已被破解,并在构建时向生成的 liblzma5 库中注入恶意代码。弗罗因德表示目前并未找到在 XZ 5.6.0 和 5.6.1 版本中添加恶意代码的确切目的。
Red Hat 现正跟踪这一供应链安全问题,将其命名为 CVE-2024-3094,并将其严重性评分定为 10/10,同时在 Fedora 40 测试版中恢复使用 5.4.x 版本的 XZ。
XZ Utils 是为 POSIX 平台开发具有高压缩率的工具。它使用 LZMA2 压缩算法,生成的压缩文件比 POSIX 平台传统使用的 gzip、bzip2 生成的压缩文件更小,而且解压缩速度也很快。
网友表示:
BTW,CentOS 6/7 依然是神

“提醒:使用Homebrew包管理器的macOS也中招了”

“大部分都没合入呢,应该没多少人会在生产环境用Debian sid之类测试版或者什么滚动发行版,最大的影响其实是在Arch Linux这种包特别新的发行版”

“相当于你家门锁它随便开”

END

官方站点:www.linuxprobe.com

Linux命令大全:www.linuxcool.com

刘遄老师QQ:5604215

Linux技术交流群:2636170

(新群,火热加群中……)

想要学习Linux系统的读者可以点击"阅读原文"按钮来了解书籍《Linux就该这么学》,同时也非常适合专业的运维人员阅读,成为辅助您工作的高价值工具书!


微信扫码关注该文公众号作者

来源:Linux就该这么学

相关新闻

危险|立即停用!美国加拿大紧急警告:爆炸或抛“金属碎片”!已致死超30人!鸿蒙告别 Linux 内核:“华为对标西方主流操作系统,流畅性完爆之”30 多年前被 Linux、Windows “ 灭掉 ” 的操作系统 MS-DOS 4.0,微软在 GitHub 上开源了Linux“史诗级更新”:蓝屏死机界面亮相Ubuntu 24.10 代号确认为 “ Oracular Oriole ”:有望使用 Linux 6.11 内核QQ 更新 Linux 3.2.8、Win 9.9.10 等版本、:群消息设置页搜索群、通过共同群聊搜索群友Linux之父 Linus Torvalds 编译 arm64 Linux 内核又有 “ 新欢 ”:Ampere AArch64超实用!满足等保要求的基线核查脚本:linux & Windows“神药”停用后就反弹了!Nature最新研究发现:停用司美格鲁肽可能导致体重回升67%!VS Code劲敌、Atom原作者主导、Rust编写的“最好”编辑器——Zed开始支持LinuxLinux 之父讽刺AI炒作:“很搞笑,大概我也会被大模型取代”“政府疯了!”澳洲民众或被强制停用煤气灶,玻璃都要换双层!华人吐槽如雷:“搞经济,别折腾老百姓!”“政府疯了!”维州民众或被强制停用煤气灶,玻璃都要换双层!华人吐槽如雷:“搞经济,别折腾老百姓!”Linux 一社区封杀大模型代码!“shit”7次出现在小作文,网友:此举非常明智!鹅厂年终开奖冲上热搜;PayPal裁员赔偿N+6;梁汝波不满字节2023年才讨论GPT;“Linux中国”停止运营 | Q资讯“Linux 中国” 开源社区,停止运营MX Linux 23.2 “Libretto” 已来! | Linux 中国博通还没完成对 VMware 客户的“斩除”行动 | Linux 中国WPS Office 2023 for Linux、方正输入法等 110 款产品适配龙芯 LoongArch 平台再续 4 年,红帽宣布为 RHEL 7 Linux 发行版提供 14 年生命周期支持Linux下一个重要目录“/proc”,你还不知道作用?Linux 下一个重要目录 “/proc” ,你还不知道作用?逃离 Windows!德国又宣布迁移到 Linux,,官员吐苦水:Windows 对硬件要求太高了替代 Redis 的一场赛跑,刚刚 Linux 基金会宣布了“赢家”
logo
联系我们隐私协议©2024 bendi.news
Bendi新闻
Bendi.news刊载任何文章,不代表同意其说法或描述,仅为提供更多信息,也不构成任何建议。文章信息的合法性及真实性由其作者负责,与Bendi.news及其运营公司无关。欢迎投稿,如发现稿件侵权,或作者不愿在本网发表文章,请版权拥有者通知本网处理。