Linux的XZ Utils后门揭示了广泛的供应链安全问题，要阻止这种情况，需要超越社区精神的解决方案。
狡猾的软件供应链入侵事件曝光后，网络安全行业再度面临高度警戒。该漏洞影响随主流Linux发行版提供的XZ Utils数据压缩库，编号为CVE-2024-3094，最终被证实是由可信的志愿者系统管理员蓄意植入后门所致。若成功利用该漏洞，某些情况下可能导致远程代码执行 (RCE)的严重漏洞，其危害性在于可能对现有软件构建流程造成重大破坏。
所幸在恶意代码进入稳定版Linux发行版前，其他管理员发现了该威胁。但对于已开始在Fedora Rawhide环境中运行XZ Utils 5.6.0及5.6.1版本的用户，该漏洞仍构成风险，组织机构应以紧急优先级推进补丁部署。若未能及时发现此漏洞，根据风险评估，这很可能成为史上最具破坏性的供应链攻击之一，其危害程度甚至可能超越SolarWinds事件。
虽然依赖社区志愿者维护关键系统已是公开事实，但像本次事件这样影响深远的问题浮出水面之前，相关讨论却寥寥无几。这些志愿者不懈的努力对开源软件的维护至关重要，但这也凸显出必须加强软件仓库的访问控制，更应在开发者层面重点关注安全技术与意识培养。
XZ Utils 后门是什么，如何缓解？
3月29日，红帽发布了紧急安全警报。该警报旨在告知Fedora Linux 4.0及Fedora Rawhide用户，最新版本的"XZ"压缩工具及库中包含了恶意代码，这些代码似乎是专门为便于第三方未经授权访问而设计的。 该恶意代码的注入方式将成为后续重点研究对象。但这实为威胁行为者"假名"历经数年实施的精密而持久的社会工程学实践。 名为"Jia Tan"的攻击者耗费两年多时间，通过向XZ Utils项目及社区进行合法贡献赢得了其他维护者的信任。当多个傀儡账户削弱了志愿者项目所有者Lasse Collin的信任后，该攻击者最终获得了"可信管理员"身份。
这个特殊案例生动地揭示了高度技术人员利用知识匮乏者实施战术的典型受害者现象，凸显了精准角色化安全意识培训的必要性。正是由于微软软件工程师兼PostgreSQL维护者的好奇心与敏捷思维，安德烈斯后门程序得以被发现并回滚版本，从而阻止了这场可能成为近期史上最具破坏性的供应链攻击。
后门本身已被官方追踪为最严重的漏洞。NIST注册表。最初认为该漏洞仅允许绕过SSH认证，但后续调查发现，在包括Fedora Rawhide、Fedora 41、Kali Linux、OpenSUSE Micro OS、OpenSUSE Tumbleweed及部分Debian版本在内的易受攻击Linux系统中，可实现未经认证的远程代码执行。
Jia Tan似乎投入了大量精力来寻找恶意软件包。这些恶意软件包在构建过程中被触发后会自行配置，从而干扰通过systemd对SSHD的认证。具体而言，在特定条件下，这种干扰可能使攻击者绕过SSHD认证，获得对整个系统的远程非法访问权限。
微软在其中发布了全面的指导方针，用于在系统中搜索漏洞利用实例并减轻其影响，同时建议受影响的开发者和用户立即采取以下机构推荐的措施：将XZ Utils降级至未受损版本，例如XZ Utils 5.4.6 Stable。
此类攻击的防范难度极高。 尤其当软件采用开源组件时，供应链的安全性几乎无法保证且缺乏透明度。我们虽已解决软件供应链中的偶然缺陷，但此类风险已显现出恶意植入安全漏洞的特征——攻击者怀有破坏开源安全的蓄意。
除非开发者具备高度安全意识、深厚安全知识且不陷入过度偏执，否则难以抵御此类攻击。这几乎要求开发者具备威胁行为者的思维模式。但最关键的考量始终应围绕源代码仓库展开——即内部受控（非开源）。此类信息应仅限具备相关安全资质的验证人员访问。应用安全专家可考虑实施分支级安全控制，例如仅允许具备安全资质的开发者向最终主分支提交变更。
志愿者维护者虽是英雄，但要确保软件安全仍需付出巨大努力。
对于软件工程领域之外的人而言，活跃的志愿者社区在业余时间辛勤维护关键系统的概念难以理解，但这正是开源开发的特性，对保护供应链的安全专家而言，这仍是严重的风险领域。
开源软件几乎构成了所有企业数字生态系统的重要组成部分。值得信赖的维护者（多数秉持善意）是无私追求技术进步与完整性的真正英雄，但继续让他们孤军奋战实属荒谬。在DevSecOps主导的时代，安全已成为集体责任。每位开发者都应具备解决工作中潜在安全问题的知识与工具。安全意识和实践技能必须成为软件开发流程中不可妥协的基准，而推动企业层面的变革则属于安全领导者的职责。
基于深入的信息，为当今组织构建蓬勃发展的安全文化。 培训课程 源自安全代码战士。
在主要Linux发行版使用的XZ Utils数据压缩库中，发现了一个由威胁行为者通过后门引入的严重漏洞CVE-2024-3094。该高危漏洞允许潜在的远程代码执行，对软件构建流程构成严重威胁。此缺陷影响Fedora Rawhide中XZ Utils的早期版本（5.6.0及5.6.1）， ，紧急呼吁各组织尽快实施补丁。该事件凸显了社区志愿者在开源软件维护中的关键作用，同时强调了在软件开发生命周期中加强安全实践和访问控制的必要性。
首席执行官、主席和联合创始人
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并帮助组织建立将网络安全置于首位的文化。无论您是应用安全管理员、开发人员、首席信息安全官还是任何与安全相关的人员，我们都能协助您的组织降低与不安全代码相关的风险。
预约演示
首席执行官、主席和联合创始人
Pieter Danhieux是全球公认的安全专家，拥有超过12年的安全顾问经验，并在SANS担任首席讲师8年，教授如何针对和评估组织、系统和个人的安全弱点的攻击性技术。2016年，他被评为澳大利亚最酷的科技人士之一（Business Insider），被授予年度网络安全专业人士（AISA - 澳大利亚信息安全协会），并持有GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA认证。
狡猾的软件供应链入侵事件曝光后，网络安全行业再度面临高度警戒。该漏洞影响随主流Linux发行版提供的XZ Utils数据压缩库，编号为CVE-2024-3094，最终被证实是由可信的志愿者系统管理员蓄意植入后门所致。若成功利用该漏洞，某些情况下可能导致远程代码执行 (RCE)的严重漏洞，其危害性在于可能对现有软件构建流程造成重大破坏。
所幸在恶意代码进入稳定版Linux发行版前，其他管理员发现了该威胁。但对于已开始在Fedora Rawhide环境中运行XZ Utils 5.6.0及5.6.1版本的用户，该漏洞仍构成风险，组织机构应以紧急优先级推进补丁部署。若未能及时发现此漏洞，根据风险评估，这很可能成为史上最具破坏性的供应链攻击之一，其危害程度甚至可能超越SolarWinds事件。
虽然依赖社区志愿者维护关键系统已是公开事实，但像本次事件这样影响深远的问题浮出水面之前，相关讨论却寥寥无几。这些志愿者不懈的努力对开源软件的维护至关重要，但这也凸显出必须加强软件仓库的访问控制，更应在开发者层面重点关注安全技术与意识培养。
XZ Utils 后门是什么，如何缓解？
3月29日，红帽发布了紧急安全警报。该警报旨在告知Fedora Linux 4.0及Fedora Rawhide用户，最新版本的"XZ"压缩工具及库中包含了恶意代码，这些代码似乎是专门为便于第三方未经授权访问而设计的。 该恶意代码的注入方式将成为后续重点研究对象。但这实为威胁行为者"假名"历经数年实施的精密而持久的社会工程学实践。 名为"Jia Tan"的攻击者耗费两年多时间，通过向XZ Utils项目及社区进行合法贡献赢得了其他维护者的信任。当多个傀儡账户削弱了志愿者项目所有者Lasse Collin的信任后，该攻击者最终获得了"可信管理员"身份。
这个特殊案例生动地揭示了高度技术人员利用知识匮乏者实施战术的典型受害者现象，凸显了精准角色化安全意识培训的必要性。正是由于微软软件工程师兼PostgreSQL维护者的好奇心与敏捷思维，安德烈斯后门程序得以被发现并回滚版本，从而阻止了这场可能成为近期史上最具破坏性的供应链攻击。
后门本身已被官方追踪为最严重的漏洞。NIST注册表。最初认为该漏洞仅允许绕过SSH认证，但后续调查发现，在包括Fedora Rawhide、Fedora 41、Kali Linux、OpenSUSE Micro OS、OpenSUSE Tumbleweed及部分Debian版本在内的易受攻击Linux系统中，可实现未经认证的远程代码执行。
Jia Tan似乎投入了大量精力来寻找恶意软件包。这些恶意软件包在构建过程中被触发后会自行配置，从而干扰通过systemd对SSHD的认证。具体而言，在特定条件下，这种干扰可能使攻击者绕过SSHD认证，获得对整个系统的远程非法访问权限。
微软在其中发布了全面的指导方针，用于在系统中搜索漏洞利用实例并减轻其影响，同时建议受影响的开发者和用户立即采取以下机构推荐的措施：将XZ Utils降级至未受损版本，例如XZ Utils 5.4.6 Stable。
此类攻击的防范难度极高。 尤其当软件采用开源组件时，供应链的安全性几乎无法保证且缺乏透明度。我们虽已解决软件供应链中的偶然缺陷，但此类风险已显现出恶意植入安全漏洞的特征——攻击者怀有破坏开源安全的蓄意。
除非开发者具备高度安全意识、深厚安全知识且不陷入过度偏执，否则难以抵御此类攻击。这几乎要求开发者具备威胁行为者的思维模式。但最关键的考量始终应围绕源代码仓库展开——即内部受控（非开源）。此类信息应仅限具备相关安全资质的验证人员访问。应用安全专家可考虑实施分支级安全控制，例如仅允许具备安全资质的开发者向最终主分支提交变更。
志愿者维护者虽是英雄，但要确保软件安全仍需付出巨大努力。
对于软件工程领域之外的人而言，活跃的志愿者社区在业余时间辛勤维护关键系统的概念难以理解，但这正是开源开发的特性，对保护供应链的安全专家而言，这仍是严重的风险领域。
开源软件几乎构成了所有企业数字生态系统的重要组成部分。值得信赖的维护者（多数秉持善意）是无私追求技术进步与完整性的真正英雄，但继续让他们孤军奋战实属荒谬。在DevSecOps主导的时代，安全已成为集体责任。每位开发者都应具备解决工作中潜在安全问题的知识与工具。安全意识和实践技能必须成为软件开发流程中不可妥协的基准，而推动企业层面的变革则属于安全领导者的职责。
基于深入的信息，为当今组织构建蓬勃发展的安全文化。 培训课程 源自安全代码战士。
狡猾的软件供应链入侵事件曝光后，网络安全行业再度面临高度警戒。该漏洞影响随主流Linux发行版提供的XZ Utils数据压缩库，编号为CVE-2024-3094，最终被证实是由可信的志愿者系统管理员蓄意植入后门所致。若成功利用该漏洞，某些情况下可能导致远程代码执行 (RCE)的严重漏洞，其危害性在于可能对现有软件构建流程造成重大破坏。
所幸在恶意代码进入稳定版Linux发行版前，其他管理员发现了该威胁。但对于已开始在Fedora Rawhide环境中运行XZ Utils 5.6.0及5.6.1版本的用户，该漏洞仍构成风险，组织机构应以紧急优先级推进补丁部署。若未能及时发现此漏洞，根据风险评估，这很可能成为史上最具破坏性的供应链攻击之一，其危害程度甚至可能超越SolarWinds事件。
虽然依赖社区志愿者维护关键系统已是公开事实，但像本次事件这样影响深远的问题浮出水面之前，相关讨论却寥寥无几。这些志愿者不懈的努力对开源软件的维护至关重要，但这也凸显出必须加强软件仓库的访问控制，更应在开发者层面重点关注安全技术与意识培养。
XZ Utils 后门是什么，如何缓解？
3月29日，红帽发布了紧急安全警报。该警报旨在告知Fedora Linux 4.0及Fedora Rawhide用户，最新版本的"XZ"压缩工具及库中包含了恶意代码，这些代码似乎是专门为便于第三方未经授权访问而设计的。 该恶意代码的注入方式将成为后续重点研究对象。但这实为威胁行为者"假名"历经数年实施的精密而持久的社会工程学实践。 名为"Jia Tan"的攻击者耗费两年多时间，通过向XZ Utils项目及社区进行合法贡献赢得了其他维护者的信任。当多个傀儡账户削弱了志愿者项目所有者Lasse Collin的信任后，该攻击者最终获得了"可信管理员"身份。
这个特殊案例生动地揭示了高度技术人员利用知识匮乏者实施战术的典型受害者现象，凸显了精准角色化安全意识培训的必要性。正是由于微软软件工程师兼PostgreSQL维护者的好奇心与敏捷思维，安德烈斯后门程序得以被发现并回滚版本，从而阻止了这场可能成为近期史上最具破坏性的供应链攻击。
后门本身已被官方追踪为最严重的漏洞。NIST注册表。最初认为该漏洞仅允许绕过SSH认证，但后续调查发现，在包括Fedora Rawhide、Fedora 41、Kali Linux、OpenSUSE Micro OS、OpenSUSE Tumbleweed及部分Debian版本在内的易受攻击Linux系统中，可实现未经认证的远程代码执行。
Jia Tan似乎投入了大量精力来寻找恶意软件包。这些恶意软件包在构建过程中被触发后会自行配置，从而干扰通过systemd对SSHD的认证。具体而言，在特定条件下，这种干扰可能使攻击者绕过SSHD认证，获得对整个系统的远程非法访问权限。
微软在其中发布了全面的指导方针，用于在系统中搜索漏洞利用实例并减轻其影响，同时建议受影响的开发者和用户立即采取以下机构推荐的措施：将XZ Utils降级至未受损版本，例如XZ Utils 5.4.6 Stable。
此类攻击的防范难度极高。 尤其当软件采用开源组件时，供应链的安全性几乎无法保证且缺乏透明度。我们虽已解决软件供应链中的偶然缺陷，但此类风险已显现出恶意植入安全漏洞的特征——攻击者怀有破坏开源安全的蓄意。
除非开发者具备高度安全意识、深厚安全知识且不陷入过度偏执，否则难以抵御此类攻击。这几乎要求开发者具备威胁行为者的思维模式。但最关键的考量始终应围绕源代码仓库展开——即内部受控（非开源）。此类信息应仅限具备相关安全资质的验证人员访问。应用安全专家可考虑实施分支级安全控制，例如仅允许具备安全资质的开发者向最终主分支提交变更。
志愿者维护者虽是英雄，但要确保软件安全仍需付出巨大努力。
对于软件工程领域之外的人而言，活跃的志愿者社区在业余时间辛勤维护关键系统的概念难以理解，但这正是开源开发的特性，对保护供应链的安全专家而言，这仍是严重的风险领域。
开源软件几乎构成了所有企业数字生态系统的重要组成部分。值得信赖的维护者（多数秉持善意）是无私追求技术进步与完整性的真正英雄，但继续让他们孤军奋战实属荒谬。在DevSecOps主导的时代，安全已成为集体责任。每位开发者都应具备解决工作中潜在安全问题的知识与工具。安全意识和实践技能必须成为软件开发流程中不可妥协的基准，而推动企业层面的变革则属于安全领导者的职责。
基于深入的信息，为当今组织构建蓬勃发展的安全文化。 培训课程 源自安全代码战士。
点击下方链接下载此资源的PDF文件。
Secure Code Warrior致力于在整个软件开发生命周期中保护代码，并帮助组织建立将网络安全置于首位的文化。无论您是应用安全管理员、开发人员、首席信息安全官还是任何与安全相关的人员，我们都能协助您的组织降低与不安全代码相关的风险。
查看报告预约演示
首席执行官、主席和联合创始人
Pieter Danhieux是全球公认的安全专家，拥有超过12年的安全顾问经验，并在SANS担任首席讲师8年，教授如何针对和评估组织、系统和个人的安全弱点的攻击性技术。2016年，他被评为澳大利亚最酷的科技人士之一（Business Insider），被授予年度网络安全专业人士（AISA - 澳大利亚信息安全协会），并持有GSE、CISSP、GCIH、GCFA、GSEC、GPEN、GWAPT、GCIA认证。
狡猾的软件供应链入侵事件曝光后，网络安全行业再度面临高度警戒。该漏洞影响随主流Linux发行版提供的XZ Utils数据压缩库，编号为CVE-2024-3094，最终被证实是由可信的志愿者系统管理员蓄意植入后门所致。若成功利用该漏洞，某些情况下可能导致远程代码执行 (RCE)的严重漏洞，其危害性在于可能对现有软件构建流程造成重大破坏。
所幸在恶意代码进入稳定版Linux发行版前，其他管理员发现了该威胁。但对于已开始在Fedora Rawhide环境中运行XZ Utils 5.6.0及5.6.1版本的用户，该漏洞仍构成风险，组织机构应以紧急优先级推进补丁部署。若未能及时发现此漏洞，根据风险评估，这很可能成为史上最具破坏性的供应链攻击之一，其危害程度甚至可能超越SolarWinds事件。
虽然依赖社区志愿者维护关键系统已是公开事实，但像本次事件这样影响深远的问题浮出水面之前，相关讨论却寥寥无几。这些志愿者不懈的努力对开源软件的维护至关重要，但这也凸显出必须加强软件仓库的访问控制，更应在开发者层面重点关注安全技术与意识培养。
XZ Utils 后门是什么，如何缓解？
3月29日，红帽发布了紧急安全警报。该警报旨在告知Fedora Linux 4.0及Fedora Rawhide用户，最新版本的"XZ"压缩工具及库中包含了恶意代码，这些代码似乎是专门为便于第三方未经授权访问而设计的。 该恶意代码的注入方式将成为后续重点研究对象。但这实为威胁行为者"假名"历经数年实施的精密而持久的社会工程学实践。 名为"Jia Tan"的攻击者耗费两年多时间，通过向XZ Utils项目及社区进行合法贡献赢得了其他维护者的信任。当多个傀儡账户削弱了志愿者项目所有者Lasse Collin的信任后，该攻击者最终获得了"可信管理员"身份。
这个特殊案例生动地揭示了高度技术人员利用知识匮乏者实施战术的典型受害者现象，凸显了精准角色化安全意识培训的必要性。正是由于微软软件工程师兼PostgreSQL维护者的好奇心与敏捷思维，安德烈斯后门程序得以被发现并回滚版本，从而阻止了这场可能成为近期史上最具破坏性的供应链攻击。
后门本身已被官方追踪为最严重的漏洞。NIST注册表。最初认为该漏洞仅允许绕过SSH认证，但后续调查发现，在包括Fedora Rawhide、Fedora 41、Kali Linux、OpenSUSE Micro OS、OpenSUSE Tumbleweed及部分Debian版本在内的易受攻击Linux系统中，可实现未经认证的远程代码执行。
Jia Tan似乎投入了大量精力来寻找恶意软件包。这些恶意软件包在构建过程中被触发后会自行配置，从而干扰通过systemd对SSHD的认证。具体而言，在特定条件下，这种干扰可能使攻击者绕过SSHD认证，获得对整个系统的远程非法访问权限。
微软在其中发布了全面的指导方针，用于在系统中搜索漏洞利用实例并减轻其影响，同时建议受影响的开发者和用户立即采取以下机构推荐的措施：将XZ Utils降级至未受损版本，例如XZ Utils 5.4.6 Stable。
此类攻击的防范难度极高。 尤其当软件采用开源组件时，供应链的安全性几乎无法保证且缺乏透明度。我们虽已解决软件供应链中的偶然缺陷，但此类风险已显现出恶意植入安全漏洞的特征——攻击者怀有破坏开源安全的蓄意。
除非开发者具备高度安全意识、深厚安全知识且不陷入过度偏执，否则难以抵御此类攻击。这几乎要求开发者具备威胁行为者的思维模式。但最关键的考量始终应围绕源代码仓库展开——即内部受控（非开源）。此类信息应仅限具备相关安全资质的验证人员访问。应用安全专家可考虑实施分支级安全控制，例如仅允许具备安全资质的开发者向最终主分支提交变更。
志愿者维护者虽是英雄，但要确保软件安全仍需付出巨大努力。
对于软件工程领域之外的人而言，活跃的志愿者社区在业余时间辛勤维护关键系统的概念难以理解，但这正是开源开发的特性，对保护供应链的安全专家而言，这仍是严重的风险领域。
开源软件几乎构成了所有企业数字生态系统的重要组成部分。值得信赖的维护者（多数秉持善意）是无私追求技术进步与完整性的真正英雄，但继续让他们孤军奋战实属荒谬。在DevSecOps主导的时代，安全已成为集体责任。每位开发者都应具备解决工作中潜在安全问题的知识与工具。安全意识和实践技能必须成为软件开发流程中不可妥协的基准，而推动企业层面的变革则属于安全领导者的职责。
基于深入的信息，为当今组织构建蓬勃发展的安全文化。 培训课程 源自安全代码战士。
有助于开始的资源
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
OpenText 应用程序安全性的强大功能 + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
