【核弹级软安全事件】XZ Utils库中发现秘密后门，影响主要Linux发行版，软件供应链安全大事件
Red Hat 发布了一份“紧急安全警报”，警告称两款流行的数据压缩库XZ Utils（先前称为LZMA Utils）的两个版本已被植入恶意代码后门，这些代码旨在允许未授权的远程访问。
此次软件供应链攻击被追踪为CVE-2024-3094，其CVSS评分为10.0，表明其严重性极高。它影响了XZ Utils的5.6.0版本（2月24日发布）和5.6.1版本（3月9日发布）。
这家IBM子公司在一份咨询报告中表示：“通过一系列复杂的混淆操作，liblzma构建过程从源代码中存在的伪装测试文件中提取出一个预构建的目标文件，然后使用该文件修改liblzma代码中的特定函数。”
“这将生成一个被修改的liblzma库，任何链接到此库的软件都可以使用该库，从而拦截和修改与此库的数据交互。”
具体来说，植入代码中的恶意代码旨在通过systemd软件套件干扰SSH（安全外壳）的sshd守护进程，并可能使威胁行为者在“适当情况下”破坏sshd认证并获得对系统的未授权远程访问权限。
微软安全研究员Andres Freund于周五发现并报告了此问题。据称，高度混淆的恶意代码是由一名名为Jia Tan（JiaT75）的用户通过GitHub上的Tukaani项目分四批提交引入的。
鉴于数周以来的活动情况，提交者要么直接参与其中，要么他们的系统受到了相当严重的破坏，”Freund说，“遗憾的是，鉴于他们在各种清单上就‘修复’问题进行了沟通，后一种情况看起来不太可能。”
微软旗下的GitHub已因违反服务条款而禁用了Tukaani项目维护的XZ Utils存储库。目前尚未有关于野外活跃利用的报告。
有证据表明，这些软件包仅存在于Fedora 41和Fedora Rawhide中，并且不会影响Red Hat Enterprise Linux (RHEL)、Debian Stable、Amazon Linux以及SUSE Linux Enterprise和Leap。
推荐阅读：
- “免密支付”出事了？看看背后的安全隐患
- 以我国为目标的网络攻击中发现 DinodasRAT的Linux版本；黑客伪装成印度空军进行钓鱼攻击；劫持GitHub进行软件供应链攻击Top.gg
相关文章：
【核弹级软安全事件】XZ Utils库中发现秘密后门，影响主要Linux发行版，软件供应链安全大事件
Red Hat 发布了一份“紧急安全警报”，警告称两款流行的数据压缩库XZ Utils（先前称为LZMA Utils）的两个版本已被植入恶意代码后门，这些代码旨在允许未授权的远程访问。 此次软件供应链攻击被追踪为CVE-2024-3094，其CVS…...
【Linux在程序运行时打印调用栈信息（函数名，文件行号等）】
在程序运行时打印相关调用栈信息（函数名，文件行号等）,便于梳理调用逻辑等 //stack.c #include <stdio.h> #include <execinfo.h> #include <stdlib.h> #include <string.h> #include <stdbool.h>#define MAX_…...
9.包和工具【go】
在Go语言中，包是代码的组织单元，而工具链则是Go语言提供的命令行工具，用于构建、测试和调试Go代码。下面我将详细介绍如何导入和使用标准库中的包，如何编写自己的包，以及如何使用Go的工具链。 导入和使用标准库中的包 Go的标准库包含了许多预定义的包，你可以通过导入这…...
判断一个字符串是否是真实手机号：JavaScript
一个简单的正则表达式示例，用于匹配中国大陆的手机号： function isValidPhoneNumber(phoneNumber) {// 定义一个正则表达式，用于匹配中国大陆的手机号const phoneRegex /^1[3-9]\d{9}$/;// 使用正则表达式测试手机号是否匹配return phoneReg…...
3D检测：从pointnet，voxelnet，pointpillar到centerpoint
记录centerpoint学习笔记。目前被引用1275次，非常高。 地址：Center-Based 3D Object Detection and Tracking (thecvf.com) GitHub - tianweiy/CenterPoint CenterPoint：三维点云目标检测算法梳理及最新进展（CVPR2021ÿ…...
使用canvas内置api完成图片的缩放平移和导出和添加提示
最近挺忙的，几乎没有时间去更新博客，今天正好在学习新东西，正好和大家分享一下。 最近要做一个使用canvas完成图片平移，缩放，添加标注的需求，完成的效果大概如下： 使用canvas内置api完成图片的缩…...
数据结构——二叉树——堆
前言： 在前面我们已经学习了数据结构的基础操作：顺序表和链表及其相关内容，今天我们来学一点有些难度的知识——数据结构中的二叉树，今天我们先来学习二叉树中堆的知识，这部分内容还是非常有意思的，下面我们…...
算法学习——LeetCode力扣图论篇3（127. 单词接龙、463. 岛屿的周长、684. 冗余连接、685. 冗余连接 II）
算法学习——LeetCode力扣图论篇3 127. 单词接龙 127. 单词接龙 - 力扣（LeetCode） 描述 字典 wordList 中从单词 beginWord 和 endWord 的 转换序列 是一个按下述规格形成的序列 beginWord -> s1 -> s2 -> … -> sk： 每一对相…...
状态模式详解：管理对象状态的利器
在软件设计中，我们经常会遇到需要根据对象的不同状态来执行不同行为的情况。为了优雅地管理这些状态及其对应的行为，状态模式（State Pattern）应运而生。本文将深入探讨状态模式的使用条件、Java代码实现，并结合现实社会…...
探索----------------阿里云
目录 一、阿里云四大件 1、云服务器ECS 2、云数据库RDS 3、负载均衡SLB 4、对象存储OSS 5、其他的云计算产品 1）内容分发网络CDN 2）专有网络 VPC 二、linux发行版本 三、你平时对系统会怎么优化（五大负载） 1、cpu 使用率…...
Tidb和MySQL性能简单测试对比
一、单SQL性能对比 由于TiDB的并发能力优秀，但是单个SQL执行延迟较差，为了客观对比，所以只用1个线程来压测tidb和mysql，以观察延迟情况 二、并发SQL性能对比 TiDB:v6.5.2 MySQL:8.0.26 （单机） 三、结论 …...
2024.2.6力扣每日一题——魔塔游戏
2024.2.6 题目来源我的题解方法一 贪心优先队列 题目来源 力扣每日一题；题序：LCP 30 我的题解 方法一 贪心优先队列 思路：使用贪心的思想，从左到右遍历，若遇到加上当前房间的生命值后小于等于0，由于需要…...
C# OAuth单点登录的实现
原理 单点登录（Single Sign-On，简称SSO）是一种身份验证技术，它允许用户使用一组凭据（如用户名和密码）登录多个相关但独立的系统，而无需在每个系统中都进行登录操作。下面是一个简单的SSO实现示…...
AtCoder Beginner Contest 347 （ABCDEF题）视频讲解
A - Divisible Problem Statement You are given positive integers N N N and K K K, and a sequence of length N N N, A ( A 1 , A 2 , … , A N ) A(A_1,A_2,\ldots,A_N) A(A1,A2,…,AN). Extract all elements of A A A that are multiples of K K K, divi…...
【vue2+antvx6】报错Cannot read properties of undefined (reading ‘toUpperCase‘)
我的代码是这样的 <el-collapseref"collapse"v-model"active"accordionclass"collapseStart"change"collapsechange"><el-collapse-item:name"String(index 1)"v-for"(i, index) in List":key"in…...
主流的开发语言、环境及其特点
主流的开发语言及其特点： 1. Python：以其简洁的语法和强大的库支持而闻名，适用于数据科学、人工智能和网络开发等领域。 2. Java：跨平台的编程语言，广泛应用于企业级应用、Android 开发和大型系统开发。 3. C…...
Android知识 - 代码混淆ProGuard规则介绍
ProGuard 的规则及示例 规则概述 ProGuard 是一个代码优化工具，它通过移除未使用的代码、重命名类、字段和方法等方式来减小应用的大小。在 ProGuard 的配置文件中，我们可以定义一系列的规则来控制优化和混淆的过程。 规则语法 ProGuard 的规则通常包…...
【Linux的进程篇章 - 冯诺依曼的体系结构】
Linux学习笔记---005 Linux冯诺依曼体系结构理解1、冯诺依曼体系结构1.1、冯诺依曼体系结构1.2、硬件层面1.3、数据层面1.4、那么冯诺依曼体系能干什么呢？ 2、操作系统(Operastor System)2.1、概念2.2、操作系统层的核心功能 3、进程的初步理解 Linux冯诺依曼体系结…...
flask-（数据连接池的使用，定制命令，信号的使用，表关系的建立和查询）
文章目录 连接池实例flask定制命令flask 缓存的使用flask信号的使用sqlalchemy原生操作sqlalchemy操作表flask orm操作表一对多的增加和跨表查询 （一对一只需要关联字段加上 ,uniqueTrue）多对多关系的增加和查询多对多基本的增删改查 连接池 import pymy…...
设计模式学习笔记 - 设计模式与范式 -行为型：2.观察者模式（下）：实现一个异步非阻塞的EventBus框架
概述 《1.观察者模式（上）》我们学习了观察者模式的原理、实现、应用场景，重点节介绍了不同应用场景下，几种不同的实现方式，包括：同步阻塞、异步非阻塞、进程内、进程间的实现方式。 同步阻塞最经典的实现…...
零门槛NAS搭建：WinNAS如何让普通电脑秒变私有云？
一、核心优势：专为Windows用户设计的极简NAS WinNAS由深圳耘想存储科技开发，是一款收费低廉但功能全面的Windows NAS工具，主打“无学习成本部署” 。与其他NAS软件相比，其优势在于： 无需硬件改造：将任意W…...
Mybatis逆向工程，动态创建实体类、条件扩展类、Mapper接口、Mapper.xml映射文件
今天呢，博主的学习进度也是步入了Java Mybatis 框架，目前正在逐步杨帆旗航。 那么接下来就给大家出一期有关 Mybatis 逆向工程的教学，希望能对大家有所帮助，也特别欢迎大家指点不足之处，小生很乐意接受正确的建议&…...
linux arm系统烧录
1、打开瑞芯微程序 2、按住linux arm 的 recover按键 插入电源 3、当瑞芯微检测到有设备 4、松开recover按键 5、选择升级固件 6、点击固件选择本地刷机的linux arm 镜像 7、点击升级 （忘了有没有这步了 估计有） 刷机程序 和 镜像 就不提供了。要刷的时…...
RabbitMQ入门4.1.0版本（基于java、SpringBoot操作）
RabbitMQ 一、RabbitMQ概述 RabbitMQ RabbitMQ最初由LShift和CohesiveFT于2007年开发，后来由Pivotal Software Inc.（现为VMware子公司）接管。RabbitMQ 是一个开源的消息代理和队列服务器，用 Erlang 语言编写。广泛应用于各种分布…...
掌握 HTTP 请求：理解 cURL GET 语法
cURL 是一个强大的命令行工具，用于发送 HTTP 请求和与 Web 服务器交互。在 Web 开发和测试中，cURL 经常用于发送 GET 请求来获取服务器资源。本文将详细介绍 cURL GET 请求的语法和使用方法。 一、cURL 基本概念 cURL 是 "Client URL" 的缩写…...
ZYNQ学习记录FPGA(一)ZYNQ简介
一、知识准备 1.一些术语,缩写和概念： 1）ZYNQ全称：ZYNQ7000 All Pgrammable SoC 2）SoC:system on chips(片上系统)，对比集成电路的SoB（system on board） 3）ARM：处理器…...
【安全篇】金刚不坏之身：整合 Spring Security + JWT 实现无状态认证与授权
摘要 本文是《Spring Boot 实战派》系列的第四篇。我们将直面所有 Web 应用都无法回避的核心问题：安全。文章将详细阐述认证（Authentication) 与授权（Authorization的核心概念，对比传统 Session-Cookie 与现代 JWT（JS…...
从零开始了解数据采集（二十八）——制造业数字孪生
近年来，我国的工业领域正经历一场前所未有的数字化变革，从“双碳目标”到工业互联网平台的推广，国家政策和市场需求共同推动了制造业的升级。在这场变革中，数字孪生技术成为备受关注的关键工具，它不仅让企业“看见”设…...
负载均衡器》》LVS、Nginx、HAproxy 区别
虚拟主机 先4，后7...
大模型——基于Docker+DeepSeek+Dify ：搭建企业级本地私有化知识库超详细教程
基于Docker+DeepSeek+Dify ：搭建企业级本地私有化知识库超详细教程 下载安装Docker Docker官网：https://www.docker.com/ 自定义Docker安装路径 Docker默认安装在C盘，大小大概2.9G，做这行最忌讳的就是安装软件全装C盘，所以我调整了下安装路径。 新建安装目录：E:\MyS…...