xz工具供应链后门事件 紧急处理
原文中文，约2200字，阅读约需6分钟。
📝
内容提要
xz-utils是一个处理XZ格式压缩文件的命令行工具软件包，近期发现了注入的后门，可能导致未经授权的访问和远程代码执行。建议定期更新软件以降低风险，并遵循安全配置的最佳实践。各平台已禁用受影响的代码库。供应链后门事件开放讨论。
🔎
延伸解读
后门注入机制与影响范围
后门在编译阶段被注入，可绕过认证直接通过SSHD进行远程代码执行。受影响的xz-utils版本为5.6.0和5.6.1，Fedora Rawhide用户在3月2日至3月6日期间更新可能收到受污染包，Fedora 40分支测试用户也可能受影响，但稳定版用户不受影响。各平台已禁用相关代码库。
紧急处置步骤
Mac用户若xz版本为5.6.0或5.6.1，应执行brew uninstall --ignore-dependencies xz和brew uninstall --force xz卸载，然后brew update && brew upgrade升级。其他Linux系统按对应命令操作。安全版本为5.4.6，用户应检查版本并尽快更新。
安全建议与长期防护
定期更新软件和OpenSSH至最新版本，遵循安全配置最佳实践，如禁用不安全认证、强制强密码或密钥认证，可降低风险。此次事件凸显供应链攻击的隐蔽性，开源社区需加强代码审查和提交监控。
❓
Q&A
xz-utils是什么工具？
xz-utils是一个处理XZ格式压缩文件的命令行工具软件包。
xz-utils的后门事件是如何发生的？
后门在编译阶段被注入，可能允许攻击者通过SSHD进行远程代码执行。
如何降低xz-utils后门带来的风险？
建议定期更新软件并遵循安全配置的最佳实践。
哪些用户可能受到xz-utils后门事件的影响？
Fedora用户在特定时间段内可能收到受污染的软件包。
OpenSSH中的RCE漏洞有什么影响？
RCE漏洞允许攻击者在目标系统上执行任意代码，可能导致未经授权的访问。
各平台对xz-utils后门事件的响应是什么？
各平台已禁用受影响的代码库，并进行安全分析。
🏷️
