今天 Linux 社區(qū)最關(guān)注的心機(jī)行版事情就是 xz-utils (以前被稱為 LZMA Utils) 項(xiàng)目被植入后門的事情，xz 是黑客后向后門被 Linux 發(fā)行版廣泛使用的壓縮格式之一，xz-utils 是潛伏器安全藍(lán)一個(gè)開源項(xiàng)目，2022 年起有個(gè)名為 Jia Tan 的兩年賬號(hào)開始向該項(xiàng)目貢獻(xiàn)代碼，然后逐步接手該項(xiàng)目成為項(xiàng)目的添加主要貢獻(xiàn)者。

日前該項(xiàng)目被發(fā)現(xiàn)存在后門，多個(gè)點(diǎn)網(wǎng)這些惡意代碼旨在允許未經(jīng)授權(quán)的發(fā)服務(wù)訪問，具體來說影響 xz-utils 5.6.0 和 5.6.1 版中，中招而且這些受影響的影響版本已經(jīng)被多個(gè) Linux 發(fā)行版合并。

簡單來說這是心機(jī)行版一起供應(yīng)鏈投毒事件，攻擊者通過上游開源項(xiàng)目投毒，黑客后向后門最終隨著項(xiàng)目集成影響 Linux 發(fā)行版，潛伏器安全藍(lán)包括 Fedora Linux 40/41 等操作系統(tǒng)已經(jīng)確認(rèn)受該問題影響。兩年

惡意代碼的添加目的：

RedHat 經(jīng)過分析后認(rèn)為，此次黑客添加的多個(gè)點(diǎn)網(wǎng)惡意代碼會(huì)通過 systemd 干擾 sshd 的身份驗(yàn)證，SSH 是遠(yuǎn)程連接系統(tǒng)的常見協(xié)議，而 sshd 是允許訪問的服務(wù)。

在適當(dāng)?shù)那闆r下，這種干擾可能會(huì)讓黑客破壞 sshd 的身份驗(yàn)證并獲得整個(gè)系統(tǒng)的遠(yuǎn)程未經(jīng)授權(quán)的訪問 (無需 SSH 密碼或密鑰)。

RedHat 確認(rèn) Fedora Linux 40/41、Fedora Rawhide 受該問題影響，RHEL 不受影響，其他 Linux 發(fā)行版應(yīng)該也受影響，具體用戶可以在開發(fā)商網(wǎng)站獲取信息。

建議立即停止使用受影響版本：

如果你使用的 Linux 發(fā)行版受上述后門程序影響，RedHat 的建議是無論個(gè)人還是商用目的，都應(yīng)該立即停止使用。

之后請查詢 Linux 發(fā)行版的開發(fā)商獲取安全建議，包括檢查和刪除后門程序、回滾或更新 xz-utils 等。

孤獨(dú)的開源貢獻(xiàn)者問題：

在這里還需要額外討論一個(gè)開源項(xiàng)目的問題，xz-utils 盡管被全世界的 Linux 發(fā)行版、壓縮軟件廣泛使用，但在之前只有一名活躍的貢獻(xiàn)者在維護(hù)這個(gè)項(xiàng)目。

這個(gè)孤獨(dú)的貢獻(xiàn)者可能因?yàn)榫Σ粔蚧蛘咂渌颍谟龅揭幻碌呢暙I(xiàn)者時(shí)，隨著時(shí)間的推移，在獲取信任后，這名新貢獻(xiàn)者逐漸獲得了項(xiàng)目的更多控制權(quán)。

實(shí)際上這名黑客應(yīng)該也是精心挑選的項(xiàng)目，知道這種情況下可能更容易獲取控制權(quán)，于是從 2022 年開始就貢獻(xiàn)代碼，直到成為主要貢獻(xiàn)者后，再實(shí)施自己的后門行動(dòng)。

未來這類針對開源項(xiàng)目的供應(yīng)鏈攻擊應(yīng)該還會(huì)顯著增加，這對整個(gè)開源社區(qū)來說應(yīng)該都是頭疼的問題。