新未名空间

nhh 写了： 2024年 4月 2日 23:21 https://www.securityweek.com/supply-cha ... -backdoor/

nhh 写了： 2024年 4月 2日 23:27 根据目前所知，我所挂心的几个：debian stable和ubuntu stable安全，proxmox安全，synology安全

陈胜吴广 写了： 2024年 4月 5日 00:45 Tan - 陈

东南亚华裔。不排除CIA。

The cybersecurity community quickly erupted over the weekend when they realized a backdoor in the most recent versions, 5.6.0 and 5.6.1, of XZ Utils. This incident was identified as a supply chain attack, where a GitHub account, handled by Jia Tan (also known as Jia Cheong Tan or JiaT75), had pushed malicious packages and successfully got it merged them into the open-source library xz/liblzma. Following this revelation, CVE-2024-3094 was assigned to this backdoor, with a CVSS Score of 10, indicating the severity of the vulnerability that could allow remote code execution.

陈胜吴广 写了： 2024年 4月 5日 01:04 xz 和 7-zip是关联的 （lzma2 lib），7-zip的作者是俄罗斯人。

xz 5.6.0 5.6.1 （发布时间相差一天）
和7-zip 24.02 24.03（发布时间也是相差一天）
都是在3月份连续推出的版本。

我觉得背后有政治阴谋。

陈胜吴广 写了： 2024年 4月 5日 00:45 Tan - 陈

东南亚华裔。不排除CIA。

The cybersecurity community quickly erupted over the weekend when they realized a backdoor in the most recent versions, 5.6.0 and 5.6.1, of XZ Utils. This incident was identified as a supply chain attack, where a GitHub account, handled by Jia Tan (also known as Jia Cheong Tan or JiaT75), had pushed malicious packages and successfully got it merged them into the open-source library xz/liblzma. Following this revelation, CVE-2024-3094 was assigned to this backdoor, with a CVSS Score of 10, indicating the severity of the vulnerability that could allow remote code execution.

陈胜吴广 写了： 2024年 4月 5日 07:15 你见过汉语拼音有 cheong吗？

显然不是汉语拼音。

姓 “陈”，马来西亚，陈就拼写成Tan

littlek 写了： 2024年 4月 5日 12:32 这人显然是台湾人，新马的中文教育现在用中国课本，写简体字，用汉语拼音，跟中国的一模一样，所以这人可能是台湾人，或者在台湾上学的马来西亚人。

而且这人搞的xz后门非常小儿科，人只是把sandybox disable了，真正的木马在编译器里，但一般发行版的编译各家有各家的编译器，因为root目录结构不同，所以这人搞xz估计有自己的特定目标，不是你们手里的linux. 最后的结果是自己的目标还没开始，后门却在非目标的linux里暴露了

linux发行版众多，文件结构差异巨大，这样的后门非常容易被发现，如果linux跟mac一样只有一种硬件设计，一个root结构，一个文件格式，后果就完全不同了。

这事本质上也说明了linux的安全性。

陈胜吴广 写了： 2024年 4月 5日 07:15 你见过汉语拼音有 cheong吗？

显然不是汉语拼音。

姓 “陈”，马来西亚，陈就拼写成Tan

littlek 写了： 2024年 4月 5日 12:32 这人显然是台湾人，新马的中文教育现在用中国课本，写简体字，用汉语拼音，跟中国的一模一样，所以这人可能是台湾人，或者在台湾上学的马来西亚人。

而且这人搞的xz后门非常小儿科，人只是把sandybox disable了，真正的木马在编译器里，但一般发行版的编译各家有各家的编译器，因为root目录结构不同，所以这人搞xz估计有自己的特定目标，不是你们手里的linux. 最后的结果是自己的目标还没开始，后门却在非目标的linux里暴露了

linux发行版众多，文件结构差异巨大，这样的后门非常容易被发现，如果linux跟mac一样只有一种硬件设计，一个root结构，一个文件格式，后果就完全不同了。

这事本质上也说明了linux的安全性。

webdriver 写了： 2024年 4月 5日 13:04 扯。。。植入的是通用库，这个库又被所有linux distro用到

nhh 写了： 2024年 4月 3日 23:13 明显是国家队啊，就不知道那个Jia Tan是真的是中国人还是栽赃的。

家里所有的服务器和云端服务，全是基于linux的。。。

trieste 写了： 2024年 4月 5日 14:10 东南亚没有JIA这个拼写。
这就是个中国人，假装东南亚。
东南亚的科技，没有这种黑客能力。就是中国的国家队才有。