【核弹级软安全事件】XZ Utils库中发现秘密后门，影响主要Linux发行版，软件供应链安全大事件
Red Hat 发布了一份“紧急安全警报”，警告称两款流行的数据压缩库XZ Utils（先前称为LZMA Utils）的两个版本已被植入恶意代码后门，这些代码旨在允许未授权的远程访问。
此次软件供应链攻击被追踪为CVE-2024-3094，其CVSS评分为10.0，表明其严重性极高。它影响了XZ Utils的5.6.0版本（2月24日发布）和5.6.1版本（3月9日发布）。
这家IBM子公司在一份咨询报告中表示：“通过一系列复杂的混淆操作，liblzma构建过程从源代码中存在的伪装测试文件中提取出一个预构建的目标文件，然后使用该文件修改liblzma代码中的特定函数。”
“这将生成一个被修改的liblzma库，任何链接到此库的软件都可以使用该库，从而拦截和修改与此库的数据交互。”
具体来说，植入代码中的恶意代码旨在通过systemd软件套件干扰SSH（安全外壳）的sshd守护进程，并可能使威胁行为者在“适当情况下”破坏sshd认证并获得对系统的未授权远程访问权限。
微软安全研究员Andres Freund于周五发现并报告了此问题。据称，高度混淆的恶意代码是由一名名为Jia Tan（JiaT75）的用户通过GitHub上的Tukaani项目分四批提交引入的。
鉴于数周以来的活动情况，提交者要么直接参与其中，要么他们的系统受到了相当严重的破坏，”Freund说，“遗憾的是，鉴于他们在各种清单上就‘修复’问题进行了沟通，后一种情况看起来不太可能。”
微软旗下的GitHub已因违反服务条款而禁用了Tukaani项目维护的XZ Utils存储库。目前尚未有关于野外活跃利用的报告。
有证据表明，这些软件包仅存在于Fedora 41和Fedora Rawhide中，并且不会影响Red Hat Enterprise Linux (RHEL)、Debian Stable、Amazon Linux以及SUSE Linux Enterprise和Leap。
推荐阅读：
- “免密支付”出事了？看看背后的安全隐患
- 以我国为目标的网络攻击中发现 DinodasRAT的Linux版本；黑客伪装成印度空军进行钓鱼攻击；劫持GitHub进行软件供应链攻击Top.gg
相关文章：
【核弹级软安全事件】XZ Utils库中发现秘密后门，影响主要Linux发行版，软件供应链安全大事件
Red Hat 发布了一份“紧急安全警报”，警告称两款流行的数据压缩库XZ Utils（先前称为LZMA Utils）的两个版本已被植入恶意代码后门，这些代码旨在允许未授权的远程访问。 此次软件供应链攻击被追踪为CVE-2024-3094，其CVS…...
【Linux在程序运行时打印调用栈信息（函数名，文件行号等）】
在程序运行时打印相关调用栈信息（函数名，文件行号等）,便于梳理调用逻辑等 //stack.c #include <stdio.h> #include <execinfo.h> #include <stdlib.h> #include <string.h> #include <stdbool.h>#define MAX_…...
9.包和工具【go】
在Go语言中，包是代码的组织单元，而工具链则是Go语言提供的命令行工具，用于构建、测试和调试Go代码。下面我将详细介绍如何导入和使用标准库中的包，如何编写自己的包，以及如何使用Go的工具链。 导入和使用标准库中的包 Go的标准库包含了许多预定义的包，你可以通过导入这…...
判断一个字符串是否是真实手机号：JavaScript
一个简单的正则表达式示例，用于匹配中国大陆的手机号： function isValidPhoneNumber(phoneNumber) {// 定义一个正则表达式，用于匹配中国大陆的手机号const phoneRegex /^1[3-9]\d{9}$/;// 使用正则表达式测试手机号是否匹配return phoneReg…...
3D检测：从pointnet，voxelnet，pointpillar到centerpoint
记录centerpoint学习笔记。目前被引用1275次，非常高。 地址：Center-Based 3D Object Detection and Tracking (thecvf.com) GitHub - tianweiy/CenterPoint CenterPoint：三维点云目标检测算法梳理及最新进展（CVPR2021ÿ…...
使用canvas内置api完成图片的缩放平移和导出和添加提示
最近挺忙的，几乎没有时间去更新博客，今天正好在学习新东西，正好和大家分享一下。 最近要做一个使用canvas完成图片平移，缩放，添加标注的需求，完成的效果大概如下： 使用canvas内置api完成图片的缩…...
数据结构——二叉树——堆
前言： 在前面我们已经学习了数据结构的基础操作：顺序表和链表及其相关内容，今天我们来学一点有些难度的知识——数据结构中的二叉树，今天我们先来学习二叉树中堆的知识，这部分内容还是非常有意思的，下面我们…...
算法学习——LeetCode力扣图论篇3（127. 单词接龙、463. 岛屿的周长、684. 冗余连接、685. 冗余连接 II）
算法学习——LeetCode力扣图论篇3 127. 单词接龙 127. 单词接龙 - 力扣（LeetCode） 描述 字典 wordList 中从单词 beginWord 和 endWord 的 转换序列 是一个按下述规格形成的序列 beginWord -> s1 -> s2 -> … -> sk： 每一对相…...
状态模式详解：管理对象状态的利器
在软件设计中，我们经常会遇到需要根据对象的不同状态来执行不同行为的情况。为了优雅地管理这些状态及其对应的行为，状态模式（State Pattern）应运而生。本文将深入探讨状态模式的使用条件、Java代码实现，并结合现实社会…...
探索----------------阿里云
目录 一、阿里云四大件 1、云服务器ECS 2、云数据库RDS 3、负载均衡SLB 4、对象存储OSS 5、其他的云计算产品 1）内容分发网络CDN 2）专有网络 VPC 二、linux发行版本 三、你平时对系统会怎么优化（五大负载） 1、cpu 使用率…...
Tidb和MySQL性能简单测试对比
一、单SQL性能对比 由于TiDB的并发能力优秀，但是单个SQL执行延迟较差，为了客观对比，所以只用1个线程来压测tidb和mysql，以观察延迟情况 二、并发SQL性能对比 TiDB:v6.5.2 MySQL:8.0.26 （单机） 三、结论 …...
2024.2.6力扣每日一题——魔塔游戏
2024.2.6 题目来源我的题解方法一 贪心优先队列 题目来源 力扣每日一题；题序：LCP 30 我的题解 方法一 贪心优先队列 思路：使用贪心的思想，从左到右遍历，若遇到加上当前房间的生命值后小于等于0，由于需要…...
C# OAuth单点登录的实现
原理 单点登录（Single Sign-On，简称SSO）是一种身份验证技术，它允许用户使用一组凭据（如用户名和密码）登录多个相关但独立的系统，而无需在每个系统中都进行登录操作。下面是一个简单的SSO实现示…...
AtCoder Beginner Contest 347 （ABCDEF题）视频讲解
A - Divisible Problem Statement You are given positive integers N N N and K K K, and a sequence of length N N N, A ( A 1 , A 2 , … , A N ) A(A_1,A_2,\ldots,A_N) A(A1,A2,…,AN). Extract all elements of A A A that are multiples of K K K, divi…...
【vue2+antvx6】报错Cannot read properties of undefined (reading ‘toUpperCase‘)
我的代码是这样的 <el-collapseref"collapse"v-model"active"accordionclass"collapseStart"change"collapsechange"><el-collapse-item:name"String(index 1)"v-for"(i, index) in List":key"in…...
主流的开发语言、环境及其特点
主流的开发语言及其特点： 1. Python：以其简洁的语法和强大的库支持而闻名，适用于数据科学、人工智能和网络开发等领域。 2. Java：跨平台的编程语言，广泛应用于企业级应用、Android 开发和大型系统开发。 3. C…...
Android知识 - 代码混淆ProGuard规则介绍
ProGuard 的规则及示例 规则概述 ProGuard 是一个代码优化工具，它通过移除未使用的代码、重命名类、字段和方法等方式来减小应用的大小。在 ProGuard 的配置文件中，我们可以定义一系列的规则来控制优化和混淆的过程。 规则语法 ProGuard 的规则通常包…...
【Linux的进程篇章 - 冯诺依曼的体系结构】
Linux学习笔记---005 Linux冯诺依曼体系结构理解1、冯诺依曼体系结构1.1、冯诺依曼体系结构1.2、硬件层面1.3、数据层面1.4、那么冯诺依曼体系能干什么呢？ 2、操作系统(Operastor System)2.1、概念2.2、操作系统层的核心功能 3、进程的初步理解 Linux冯诺依曼体系结…...
flask-（数据连接池的使用，定制命令，信号的使用，表关系的建立和查询）
文章目录 连接池实例flask定制命令flask 缓存的使用flask信号的使用sqlalchemy原生操作sqlalchemy操作表flask orm操作表一对多的增加和跨表查询 （一对一只需要关联字段加上 ,uniqueTrue）多对多关系的增加和查询多对多基本的增删改查 连接池 import pymy…...
设计模式学习笔记 - 设计模式与范式 -行为型：2.观察者模式（下）：实现一个异步非阻塞的EventBus框架
概述 《1.观察者模式（上）》我们学习了观察者模式的原理、实现、应用场景，重点节介绍了不同应用场景下，几种不同的实现方式，包括：同步阻塞、异步非阻塞、进程内、进程间的实现方式。 同步阻塞最经典的实现…...
Auto-Coder使用GPT-4o完成：在用TabPFN这个模型构建一个预测未来3天涨跌的分类任务
通过akshare库，获取股票数据，并生成TabPFN这个模型 可以识别、处理的格式，写一个完整的预处理示例，并构建一个预测未来 3 天股价涨跌的分类任务 用TabPFN这个模型构建一个预测未来 3 天股价涨跌的分类任务，进行预测并输…...
智能在线客服平台：数字化时代企业连接用户的 AI 中枢
随着互联网技术的飞速发展，消费者期望能够随时随地与企业进行交流。在线客服平台作为连接企业与客户的重要桥梁，不仅优化了客户体验，还提升了企业的服务效率和市场竞争力。本文将探讨在线客服平台的重要性、技术进展、实际应用，并…...
（二）原型模式
原型的功能是将一个已经存在的对象作为源目标，其余对象都是通过这个源目标创建。发挥复制的作用就是原型模式的核心思想。 一、源型模式的定义 原型模式是指第二次创建对象可以通过复制已经存在的原型对象来实现，忽略对象创建过程中的其它细节。 📌 核心特点： 避免重复初…...
数据链路层的主要功能是什么
数据链路层（OSI模型第2层）的核心功能是在相邻网络节点（如交换机、主机）间提供可靠的数据帧传输服务，主要职责包括： 🔑 核心功能详解： 帧封装与解封装 封装： 将网络层下发…...
Device Mapper 机制
Device Mapper 机制详解 Device Mapper（简称 DM）是 Linux 内核中的一套通用块设备映射框架，为 LVM、加密磁盘、RAID 等提供底层支持。本文将详细介绍 Device Mapper 的原理、实现、内核配置、常用工具、操作测试流程，并配以详细的…...
视觉slam十四讲实践部分记录——ch2、ch3
ch2 一、使用g++编译.cpp为可执行文件并运行(P30) g++ helloSLAM.cpp ./a.out运行 二、使用cmake编译 mkdir build cd build cmake .. makeCMakeCache.txt 文件仍然指向旧的目录。这表明在源代码目录中可能还存在旧的 CMakeCache.txt 文件，或者在构建过程中仍然引用了旧的路…...
Java数值运算常见陷阱与规避方法
整数除法中的舍入问题 问题现象 当开发者预期进行浮点除法却误用整数除法时，会出现小数部分被截断的情况。典型错误模式如下： void process(int value) {double half = value / 2; // 整数除法导致截断// 使用half变量 }此时...
AI语音助手的Python实现
引言 语音助手（如小爱同学、Siri）通过语音识别、自然语言处理（NLP）和语音合成技术，为用户提供直观、高效的交互体验。随着人工智能的普及，Python开发者可以利用开源库和AI模型，快速构建自定义语音助手。本文由浅入深，详细介绍如何使用Python开发AI语音助手，涵盖基础功…...
CVPR2025重磅突破：AnomalyAny框架实现单样本生成逼真异常数据，破解视觉检测瓶颈！
本文介绍了一种名为AnomalyAny的创新框架，该方法利用Stable Diffusion的强大生成能力，仅需单个正常样本和文本描述，即可生成逼真且多样化的异常样本，有效解决了视觉异常检测中异常样本稀缺的难题，为工业质检、医疗影像…...
华为OD最新机试真题-数组组成的最小数字-OD统一考试（B卷）
题目描述 给定一个整型数组，请从该数组中选择3个元素 组成最小数字并输出 (如果数组长度小于3，则选择数组中所有元素来组成最小数字)。 输入描述 行用半角逗号分割的字符串记录的整型数组，0<数组长度<= 100，0<整数的取值范围<= 10000。 输出描述 由3个元素组成…...