当前位置： 首页 > news >正文

【核弹级软安全事件】XZ Utils库中发现秘密后门，影响主要Linux发行版，软件供应链安全大事件

news 文章来源：https://blog.csdn.net/weixin_55163056/article/details/137209474 2024/11/15 22:46:19

在这里插入图片描述

Red Hat 发布了一份“紧急安全警报”，警告称两款流行的数据压缩库XZ Utils（先前称为LZMA Utils）的两个版本已被植入恶意代码后门，这些代码旨在允许未授权的远程访问。

此次软件供应链攻击被追踪为CVE-2024-3094，其CVSS评分为10.0，表明其严重性极高。它影响了XZ Utils的5.6.0版本（2月24日发布）和5.6.1版本（3月9日发布）。

这家IBM子公司在一份咨询报告中表示：“通过一系列复杂的混淆操作，liblzma构建过程从源代码中存在的伪装测试文件中提取出一个预构建的目标文件，然后使用该文件修改liblzma代码中的特定函数。”

“这将生成一个被修改的liblzma库，任何链接到此库的软件都可以使用该库，从而拦截和修改与此库的数据交互。”

具体来说，植入代码中的恶意代码旨在通过systemd软件套件干扰SSH（安全外壳）的sshd守护进程，并可能使威胁行为者在“适当情况下”破坏sshd认证并获得对系统的未授权远程访问权限。

微软安全研究员Andres Freund于周五发现并报告了此问题。据称，高度混淆的恶意代码是由一名名为Jia Tan（JiaT75）的用户通过GitHub上的Tukaani项目分四批提交引入的。

鉴于数周以来的活动情况，提交者要么直接参与其中，要么他们的系统受到了相当严重的破坏，”Freund说，“遗憾的是，鉴于他们在各种清单上就‘修复’问题进行了沟通，后一种情况看起来不太可能。”

微软旗下的GitHub已因违反服务条款而禁用了Tukaani项目维护的XZ Utils存储库。目前尚未有关于野外活跃利用的报告。

有证据表明，这些软件包仅存在于Fedora 41和Fedora Rawhide中，并且不会影响Red Hat Enterprise Linux (RHEL)、Debian Stable、Amazon Linux以及SUSE Linux Enterprise和Leap。

推荐阅读：

  1. “免密支付”出事了？看看背后的安全隐患
  2. 以我国为目标的网络攻击中发现 DinodasRAT的Linux版本；黑客伪装成印度空军进行钓鱼攻击；劫持GitHub进行软件供应链攻击Top.gg

相关文章：

【核弹级软安全事件】XZ Utils库中发现秘密后门，影响主要Linux发行版，软件供应链安全大事件

Red Hat 发布了一份“紧急安全警报”，警告称两款流行的数据压缩库XZ Utils（先前称为LZMA Utils）的两个版本已被植入恶意代码后门，这些代码旨在允许未授权的远程访问。 此次软件供应链攻击被追踪为CVE-2024-3094，其CVS…...

编程日记 2024/4/1 7:47:30

【Linux在程序运行时打印调用栈信息（函数名，文件行号等）】

在程序运行时打印相关调用栈信息&#xff08;函数名&#xff0c;文件行号等&#xff09;,便于梳理调用逻辑等 //stack.c #include <stdio.h> #include <execinfo.h> #include <stdlib.h> #include <string.h> #include <stdbool.h>#define MAX_…...

编程日记 2024/4/1 7:46:29

9.包和工具【go】

在Go语言中，包是代码的组织单元，而工具链则是Go语言提供的命令行工具，用于构建、测试和调试Go代码。下面我将详细介绍如何导入和使用标准库中的包，如何编写自己的包，以及如何使用Go的工具链。 导入和使用标准库中的包 Go的标准库包含了许多预定义的包，你可以通过导入这…...

编程日记 2024/4/1 7:41:23

判断一个字符串是否是真实手机号：JavaScript

一个简单的正则表达式示例&#xff0c;用于匹配中国大陆的手机号&#xff1a; function isValidPhoneNumber(phoneNumber) {// 定义一个正则表达式&#xff0c;用于匹配中国大陆的手机号const phoneRegex /^1[3-9]\d{9}$/;// 使用正则表达式测试手机号是否匹配return phoneReg…...

编程日记 2024/4/1 7:40:22

3D检测：从pointnet，voxelnet，pointpillar到centerpoint

记录centerpoint学习笔记。目前被引用1275次&#xff0c;非常高。 地址&#xff1a;Center-Based 3D Object Detection and Tracking (thecvf.com) GitHub - tianweiy/CenterPoint CenterPoint&#xff1a;三维点云目标检测算法梳理及最新进展&#xff08;CVPR2021&#xff…...

编程日记 2024/4/1 7:39:21

使用canvas内置api完成图片的缩放平移和导出和添加提示

最近挺忙的&#xff0c;几乎没有时间去更新博客&#xff0c;今天正好在学习新东西&#xff0c;正好和大家分享一下。 最近要做一个使用canvas完成图片平移&#xff0c;缩放&#xff0c;添加标注的需求&#xff0c;完成的效果大概如下&#xff1a; 使用canvas内置api完成图片的缩…...

编程日记 2024/4/1 7:38:20

数据结构——二叉树——堆

前言&#xff1a; 在前面我们已经学习了数据结构的基础操作&#xff1a;顺序表和链表及其相关内容&#xff0c;今天我们来学一点有些难度的知识——数据结构中的二叉树&#xff0c;今天我们先来学习二叉树中堆的知识&#xff0c;这部分内容还是非常有意思的&#xff0c;下面我们…...

编程日记 2024/4/1 7:33:16

算法学习——LeetCode力扣图论篇3（127. 单词接龙、463. 岛屿的周长、684. 冗余连接、685. 冗余连接 II）

算法学习——LeetCode力扣图论篇3 127. 单词接龙 127. 单词接龙 - 力扣&#xff08;LeetCode&#xff09; 描述 字典 wordList 中从单词 beginWord 和 endWord 的 转换序列 是一个按下述规格形成的序列 beginWord -> s1 -> s2 -> … -> sk&#xff1a; 每一对相…...

编程日记 2024/4/1 7:30:13

状态模式详解：管理对象状态的利器

在软件设计中&#xff0c;我们经常会遇到需要根据对象的不同状态来执行不同行为的情况。为了优雅地管理这些状态及其对应的行为&#xff0c;状态模式&#xff08;State Pattern&#xff09;应运而生。本文将深入探讨状态模式的使用条件、Java代码实现&#xff0c;并结合现实社会…...

编程日记 2024/4/1 7:29:11

探索----------------阿里云

目录 一、阿里云四大件 1、云服务器ECS 2、云数据库RDS 3、负载均衡SLB 4、对象存储OSS 5、其他的云计算产品 1&#xff09;内容分发网络CDN 2&#xff09;专有网络 VPC 二、linux发行版本 三、你平时对系统会怎么优化&#xff08;五大负载&#xff09; 1、cpu 使用率…...

编程日记 2024/4/1 7:21:05

Tidb和MySQL性能简单测试对比

一、单SQL性能对比 由于TiDB的并发能力优秀&#xff0c;但是单个SQL执行延迟较差&#xff0c;为了客观对比&#xff0c;所以只用1个线程来压测tidb和mysql&#xff0c;以观察延迟情况 二、并发SQL性能对比 TiDB:v6.5.2 MySQL:8.0.26 &#xff08;单机&#xff09; 三、结论 …...

编程日记 2024/4/1 7:20:04

2024.2.6力扣每日一题——魔塔游戏

2024.2.6 题目来源我的题解方法一 贪心优先队列 题目来源 力扣每日一题&#xff1b;题序&#xff1a;LCP 30 我的题解 方法一 贪心优先队列 思路&#xff1a;使用贪心的思想&#xff0c;从左到右遍历&#xff0c;若遇到加上当前房间的生命值后小于等于0&#xff0c;由于需要…...

编程日记 2024/4/1 7:17:01

C# OAuth单点登录的实现

原理 单点登录&#xff08;Single Sign-On&#xff0c;简称SSO&#xff09;是一种身份验证技术&#xff0c;它允许用户使用一组凭据&#xff08;如用户名和密码&#xff09;登录多个相关但独立的系统&#xff0c;而无需在每个系统中都进行登录操作。下面是一个简单的SSO实现示…...

编程日记 2024/4/1 7:16:00

AtCoder Beginner Contest 347 （ABCDEF题）视频讲解

A - Divisible Problem Statement You are given positive integers N N N and K K K, and a sequence of length N N N, A ( A 1 , A 2 , … , A N ) A(A_1,A_2,\ldots,A_N) A(A1​,A2​,…,AN​). Extract all elements of A A A that are multiples of K K K, divi…...

编程日记 2024/4/1 7:14:59

【vue2+antvx6】报错Cannot read properties of undefined (reading ‘toUpperCase‘)

我的代码是这样的 <el-collapseref"collapse"v-model"active"accordionclass"collapseStart"change"collapsechange"><el-collapse-item:name"String(index 1)"v-for"(i, index) in List":key"in…...

编程日记 2024/4/1 7:13:58

主流的开发语言、环境及其特点

主流的开发语言及其特点&#xff1a; 1. Python&#xff1a;以其简洁的语法和强大的库支持而闻名&#xff0c;适用于数据科学、人工智能和网络开发等领域。 2. Java&#xff1a;跨平台的编程语言&#xff0c;广泛应用于企业级应用、Android 开发和大型系统开发。 3. C&#xf…...

编程日记 2024/4/1 7:12:56

Android知识 - 代码混淆ProGuard规则介绍

ProGuard 的规则及示例 规则概述 ProGuard 是一个代码优化工具&#xff0c;它通过移除未使用的代码、重命名类、字段和方法等方式来减小应用的大小。在 ProGuard 的配置文件中&#xff0c;我们可以定义一系列的规则来控制优化和混淆的过程。 规则语法 ProGuard 的规则通常包…...

编程日记 2024/4/1 7:11:55

【Linux的进程篇章 - 冯诺依曼的体系结构】

Linux学习笔记---005 Linux冯诺依曼体系结构理解1、冯诺依曼体系结构1.1、冯诺依曼体系结构1.2、硬件层面1.3、数据层面1.4、那么冯诺依曼体系能干什么呢&#xff1f; 2、操作系统(Operastor System)2.1、概念2.2、操作系统层的核心功能 3、进程的初步理解 Linux冯诺依曼体系结…...

编程日记 2024/4/1 7:09:53

flask-（数据连接池的使用，定制命令，信号的使用，表关系的建立和查询）

文章目录 连接池实例flask定制命令flask 缓存的使用flask信号的使用sqlalchemy原生操作sqlalchemy操作表flask orm操作表一对多的增加和跨表查询 &#xff08;一对一只需要关联字段加上 ,uniqueTrue&#xff09;多对多关系的增加和查询多对多基本的增删改查 连接池 import pymy…...

编程日记 2024/4/1 7:07:50

设计模式学习笔记 - 设计模式与范式 -行为型：2.观察者模式（下）：实现一个异步非阻塞的EventBus框架

概述 《1.观察者模式&#xff08;上&#xff09;》我们学习了观察者模式的原理、实现、应用场景&#xff0c;重点节介绍了不同应用场景下&#xff0c;几种不同的实现方式&#xff0c;包括&#xff1a;同步阻塞、异步非阻塞、进程内、进程间的实现方式。 同步阻塞最经典的实现…...

编程日记 2024/4/1 7:06:49

数据挖掘|贝叶斯分类器及其Python实现

分类分析|贝叶斯分类器及其Python实现 0. 分类分析概述1. Logistics回归模型2. 贝叶斯分类器2.1 贝叶斯定理2.2 朴素贝叶斯分类器2.2.1 高斯朴素贝叶斯分类器2.2.2 多项式朴素贝叶斯分类器 2.3 朴素贝叶斯分类的主要优点2.4 朴素贝叶斯分类的主要缺点 3. 贝叶斯分类器在生产中的…...

编程日记 2024/4/1 7:05:48

Linux文件（系统）IO（含动静态库的链接操作）

文章目录 Linux文件&#xff08;系统&#xff09;IO&#xff08;含动静态库的链接操作&#xff09;1、C语言文件IO操作2、三个数据流stdin、stdout、stderr3、系统文件IO3.1、相关系统调用接口的使用3.2、文件描述符fd3.3、文件描述符的分配规则3.3、重定向3.4、自制shell加入重…...

编程日记 2024/4/1 7:04:47

CI/CD实战-jenkins结合ansible 7

配置主机环境 在jenkins上断开并删除docker1节点 重新给master添加构建任务 将server3&#xff0c;server4作为测试主机&#xff0c;停掉其上后面的docker 在server2&#xff08;jenkins&#xff09;主机上安装ansible 设置jenkins用户到目标主机的免密 给测试主机创建用户并…...

编程日记 2024/4/1 6:58:42

内网渗透-(黄金票据和白银票据)详解(一)

目录 一、Kerberos协议 二、下面我们来具体分析Kerberos认证流程的每个步骤&#xff1a; 1、KRB_AS-REQ请求包分析 PA-ENC-TIMESTAMP PA_PAC_REQUEST 2、 KRB_AS_REP回复包分析&#xff1a; TGT认购权证 Logon Session Key ticket 3、然后继续来讲相关的TGS的认证过程…...

编程日记 2024/4/1 6:57:40

学习transformer模型-Dropout的简明介绍

Dropout的定义和目的&#xff1a; Dropout 是一种神经网络正则化技术&#xff0c;它在训练时以指定的概率丢弃一个单元&#xff08;以及连接&#xff09;p。 这个想法是为了防止神经网络变得过于依赖特定连接的共同适应&#xff0c;因为这可能是过度拟合的症状。直观上&#…...

编程日记 2024/4/1 6:54:37

游戏引擎中的大气和云的渲染

一、大气 首先和光线追踪类似&#xff0c;大气渲染也有类似的渲染公式&#xff0c;在实际处理中也有类似 Blinn-Phong的拟合模型。关键参数是当前点到天顶的角度和到太阳的角度 二、大气散射理论 光和介质的接触&#xff1a; Absorption 吸收Out-scattering 散射Emission …...

编程日记 2024/4/1 6:52:35

华为鲲鹏云认证考试内容有哪些？华为鲲鹏云认证考试报名条件

华为鲲鹏云认证考试是华为公司为了验证IT专业人士在鲲鹏计算及云计算领域的专业能力而设立的一项认证考试。以下是关于华为鲲鹏云认证考试的一些详细信息&#xff1a; 考试内容&#xff1a;华为鲲鹏云认证考试的内容主要包括理论考核和实践考核两大部分。理论考核涉及云计算、…...

编程日记 2024/4/1 6:48:31

v3-admin-vite 改造自动路由，view页面自解释Meta

需求 v3-admin-vite是一款不错的后端管理模板&#xff0c;主要是pany一直都在维护&#xff0c;最近将后台管理也进行了升级&#xff0c;顺便完成一直没时间解决的小痛痒&#xff1a; 在不使用后端动态管理的情况下。我不希望单独维护一份路由定义&#xff0c;我希望页面是自解…...

编程日记 2024/4/1 6:46:28

FIFO存储器选型参数，结构原理，工艺与注意问题总结

🏡《总目录》 目录 1，概述2.1，写入操作2.2，读取操作2.3，指针移动与循环2.4，状态检测3，结构特点3.1，双口RAM结构3.2，无外部读写地址线3.3，内部读写指针自动递增3.4，固定深度的缓冲区4，工艺流程4.1，硅晶圆准备...

编程日记 2024/4/1 6:45:27

jvm高级面试题-2024

说下对JVM内存模型的理解 JVM内存模型主要是指Java虚拟机在运行时所使用的内存结构。它主要包括堆、栈、方法区和程序计数器等部分。 堆是JVM中最大的一块内存区域&#xff0c;用于存储对象实例。一般通过new关键字创建的对象都存放在堆中&#xff0c;堆的大小可以通过启动参数…...

编程日记 2024/4/1 6:40:23

做代购需要什么网站/百度获客

开始于2020年6月15日 方法str.title()以首字母大写的方式显示每个单词 name "ada lovelace" print(name.title()) # Ada Lovelace 方法str.upper()和str.lower() name "Ada Lovelace" print(name.upper()) # ADA LOVELACE print(name.lower()) # ada lov…...

编程日记 2024/11/15 22:12:52

b2b 网站开发/seo流程

关注公众号&#xff1a; TSparks 名称&#xff1a;尧字节 发送"10年" 不包括引号获取十年架构师文集 发送"23" 获取23种Java设计模式 发送"大咖" 获取大咖视频会议分享 发送"机器" 获取机器学习很棒的入门pdf&#xff0c;讲的非常详…...

编程日记 2024/11/15 21:34:26

有什么做数据的网站/互联网广告优势

一、背景 看过我 Jenkins 系列博文的同学应该知道&#xff0c;之前的 java 程序是通过 ssh 发布到服务器上面的&#xff0c;通过的是 shell 脚本&#xff0c;但是有些时候&#xff0c;我们并没有服务器的权限&#xff0c;只有对应 tomcat 的管理权限&#xff0c;直接通过 tomca…...

编程日记 2024/11/15 21:15:16

在线做雅思真题网站/成品视频直播软件推荐哪个好一点

“互联网精神”即&#xff1a;开放、平等、协作、分享。“天下大势&#xff0c;浩浩荡荡&#xff1b;顺之者昌&#xff0c;逆之者亡”开放精神 互联网的特质决定着它既没有时间界限也没有地域界限。通过互联网&#xff0c;它无时无刻、无处不在&#xff0c;不停的帮你的信息进行…...

编程日记 2024/11/15 19:39:07

淄博网站制作设计定制/企业推广公司

JavaFX教程 - JavaFX按钮当用户单击按钮时&#xff0c;JavaFX Button类可以触发事件。Button类扩展标记的类&#xff0c;它可以显示文本&#xff0c;图像&#xff0c;或两者兼而有之。以下代码显示了如何向Button添加单击操作侦听器。import javafx.application.Application;im…...

编程日记 2024/11/15 16:43:59

生态农业网站建设方案/网站建设制作教程

一&#xff0c;数据库初识 Q1&#xff1a;为什么要用数据库 将文件和程序存在一台机器上上很不合理的 操作文件是一件很麻烦的事 Q2:数据库的优势 程序稳定性&#xff1a;这样任意一台服务所在的机器崩溃了都不会影响数据和另外的服务 数据一致性&#xff1a;所有的数据都存储在…...

编程日记 2024/11/15 15:24:07