xz 遭受恶意代码攻击，众多 Linux 发行版受影响-低调大师

xz 遭受恶意代码攻击，众多 Linux 发行版受影响

2024-03-30 326

红帽发布了一份“针对 Fedora Linux 40 和 Fedora Rawhide 用户的紧急安全警报”指出，最新版本的 xz 5.6.0/5.6.1 工具和库中包含恶意代码，可能允许未经授权的远程系统访问。

xz 是一种通用数据压缩格式，几乎存在于每个 Linux 发行版中，包括社区项目和商业产品发行版。从本质上讲，它有助于将大文件格式压缩（然后解压缩）为更小、更易于管理的大小，以便通过文件传输进行共享。

红帽已经该漏洞标记为 CVE-2024-3094。目前的调查表明，这些软件包仅存在于 Red Hat 社区生态系统内的 Fedora 41 和 Fedora Rawhide 中，Red Hat Enterprise Linux (RHEL) 的所有版本均不受影响。

Fedora Linux 40 用户可能已收到 5.6.0 版本，具体取决于系统更新的时间。Fedora Rawhide 用户可能已收到 5.6.0 或 5.6.1 版本。“请立即停止将任何 Fedora RAWHIDE 实例用于工作或个人活动。 Fedora Rawhide 很快就会恢复到 xz-5.4.x，一旦完成，Fedora Rawhide 实例就可以安全地重新部署。”

Fedora Linux 40 版本尚未被证明受到损害，红帽方面认为恶意代码注入在这些版本中并未生效。不过为了安全起见，建议 Fedora Linux 40 用户仍应降级到 5.4 版本。已发布了将 xz 恢复为 5.4.x 的更新，Fedora Linux 40 用户可以通过正常更新系统使用该更新。

此外，Debian 也就 XZ utils 中的恶意代码发布了类似的安全信息。目前尚未发现任何 Debian 稳定版本受到影响。受影响的软件包属于 Debian 测试版、不稳定版和实验版，版本从 5.5.1alpha-0.1（2024-02-01 上传）到 5.6.1-1 不等。软件包已恢复使用上游 5.4.5 代码，并将其命名为 5.6.1+really5.4.5-1。敦促运行 Debian 测试版和不稳定版的用户更新 xz-utils 软件包。

Kali Linux 发布声明表示该漏洞对 3 月 26 日至 3 月 29 日期间的 Kali 造成了影响，建议相关用户尽快进行最新升级。Amazon Linux 则确认未受该漏洞影响，用户无需采取任何措施。

OpenSUSE 表示已于 3 月 28 日回滚了 Tumbleweed 上的 xz 版本，并发布了根据安全备份构建的新 Tumbleweed 快照（20240328 或更高版本）。

“对于 SSH 被暴露在互联网上的 openSUSE Tumbleweed 用户，我们建议重新安装，因为不知道后门是否已被利用。由于后门的复杂性，不可能在系统上检测到漏洞。此外，强烈建议对可能从系统中获取的任何凭据进行轮换。否则，只需更新至 openSUSE Tumbleweed 20240328 或更高版本并重新启动系统即可。”

安全研究人员 Andres Freund 进行的逆向工程分析发现，恶意代码使用巧妙的技术来逃避检测。更多详情可查看此 oss-security 列表。

值得一提的是，目前 GitHub 已全面禁用了 tukaani-project/xz 仓库，并附有一条信息：

由于违反了 GitHub 的服务条款，GitHub 工作人员已禁止访问该版本库。如果您是该版本库的所有者，可以联系 GitHub 支持部门了解详情。

微信关注我们

原文链接：https://www.oschina.net/news/285463/xz-cve-2024-3094

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Ubuntu 24.04 将 Cheese 替换为 GNOME Snapshot

Ubuntu 24.04 计划将其默认网络摄像头应用程序从 Cheese 改为 Snapshot —— 一款现代 GTK4/libadwaita 摄像头工具，是 GNOME 核心应用程序集的一部分。自 2010 年以来，Cheese 一直是 Ubuntu 默认软件阵容的一部分；最初是在 Ubuntu 9.10 Netbook Remix 中被引入，原因是当时笔记本电脑体积小、功率低，而且配备了 30 万像素网络摄像头（在此之前，网络摄像头在廉价笔记本电脑中并不常见）。彼时，Cheese 因作为 Apple iBooth（后来的 Photo Booth）软件的 Linux 替代品而闻名，因为它包含大量由 GStreamer 提供的实时视频特效，在当时并不常见。但时至今日，Cheese 的独特性优势已不复存在。这也是 GNOME 开发人员创建 Snapshot 的原因：它是一款真正的相机应用程序，而不是"Photo Booth"的克隆版。它的作用是拍照和录制视频片段，实时图像填充整个窗口，有一个显示构图线的切换开关，并且叠加了控件。和 Cheese 一样，用户可以使用 Snapsho...

2024-03-30

302

任务设置通用基础所有任务都有一些基础信息需要填写：任务名称（必填）、执行类型（必填）、执行时间（必填）、备注（可选）、推送信息（可选）；其中任务时间根据执行类型不同会有所变化：周期类型使用crontab语法时间、单次类型使用YYYY-mm-dd HH:ii:ss时间格式、组件类型没有时间。还有就是推送消息可以设置多条。任务基础信息设置消息设置 http任务 http任务需要设置请求地址url（必填）、请求头（可选）、请求body（可选）。由于http接口有被外网访问的风险，所以还需注意安全措施。 http任务设置 rpc任务 grpc任务需要定义.proto文件（仅保留调用需要部分即可）、请求地址ip:port端口、请求方法（proto填写后点击解析后可选）、请求参数。建议将服务放在与grpc服务器内网环境中，这样就可调用内网服务地址。 grpc任务设置 proto语法样例 syntax = "proto3"; package order; service Order { rpc ImportSale(ImportSaleRequest)returns(Imp...

2024-03-30

286

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。