有关 xz-utils 的重要信息 (CVE-2024-3094)
内容提要
GitLab发现了CVE-2024-3094漏洞，影响了xz-utils版本5.6.0和5.6.1。GitLab.com、GitLab Dedicated和默认自托管软件包不受影响。自托管的GitLab客户应检查本地安装的软件包，确保没有安装受影响版本的xz或xz-utils软件包。如有安装，应降级到5.4.x版本，或等待供应商提供安全版本。GitHub已禁用Tukaani Project维护的XZ Utils存储库。
延伸解读
漏洞影响范围与GitLab的应对
CVE-2024-3094影响xz-utils 5.6.0和5.6.1版本，恶意代码被植入。GitLab确认其GitLab.com、GitLab Dedicated及默认自托管软件包不受影响，但自托管客户需自行检查本地是否安装了受影响版本。若存在，建议降级至5.4.x或等待供应商安全版本，并考虑下线可能受影响的容器。
自托管用户的操作建议
对于自托管GitLab用户，应检查本地安装的xz或xz-utils版本。若为5.6.0或5.6.1，应降级到5.4.x，或等待供应商提供安全版本。此外，若怀疑系统已被入侵，应关闭并替换相关主机和容器，以降低风险。
GitHub禁用XZ Utils仓库
GitHub已禁用Tukaani Project维护的XZ Utils仓库，原因是违反服务条款。这一举措可能影响依赖该仓库的开发者，需关注后续替代方案或官方更新。
Q&A
CVE-2024-3094漏洞影响了哪些版本的xz-utils？
CVE-2024-3094漏洞影响了xz-utils版本5.6.0和5.6.1。
哪些GitLab服务不受CVE-2024-3094漏洞影响？
GitLab.com、GitLab Dedicated和默认自托管软件包不受影响。
自托管的GitLab客户应该如何处理受影响的xz-utils版本？
自托管的GitLab客户应检查本地安装的软件包，确保没有安装受影响版本，如有安装，应降级到5.4.x版本。
如果安装了受影响的xz-utils版本，应该采取什么措施？
如果安装了受影响的版本，建议降级到5.4.x版本，或等待供应商提供安全版本。
为什么GitHub禁用了XZ Utils存储库？
GitHub禁用了XZ Utils存储库，因为违反了GitHub的服务条款。
如何确认本地安装的xz-utils版本是否安全？
用户应检查本地安装的软件包，确保没有安装版本5.6.0或5.6.1。
