【安全事件】Xinference PyPI遭供应链投毒预警通告
内容提要
绿盟科技CERT监测到开源AI框架Xinference在PyPI遭受供应链攻击，攻击者发布了3个恶意版本（2.6.0、2.6.1和2.6.2），窃取用户敏感数据。建议用户立即降级至安全版本2.5.0并进行全面排查与防护。此事件强调了开源组件的安全审计和供应链安全的重要性。
关键要点
-
绿盟科技CERT监测到开源AI框架Xinference在PyPI遭受供应链攻击，攻击者发布了3个恶意版本（2.6.0、2.6.1和2.6.2）。
-
恶意版本会窃取用户的敏感数据，包括云凭证、SSH密钥、API令牌等，并发送至攻击者的服务器。
-
建议用户立即降级至安全版本2.5.0，并进行全面排查与防护。
-
此次事件强调了开源组件的安全审计和供应链安全的重要性，呼吁建立常态化的安全审计机制。
-
用户应撤销并轮换所有敏感凭证，开启双因素验证，并定期检查系统日志以防止后续攻击。
延伸解读
供应链安全的重要性
此次Xinference的供应链攻击事件再次凸显了开源软件在安全审计方面的脆弱性。随着开源组件的广泛使用，建立常态化的安全审计机制显得尤为重要，以防止类似事件的发生。用户和开发者应重视开源软件的安全性，定期检查和更新使用的组件版本。
用户应采取的防护措施
受影响的用户应立即降级至安全版本2.5.0，并进行全面的系统排查。建议撤销并轮换所有敏感凭证，开启双因素验证，定期检查系统日志。这些措施可以有效降低潜在的安全风险，保护用户的敏感信息不被泄露。
恶意版本的特征分析
此次攻击中，恶意版本通过植入木马代码来窃取用户的敏感数据。用户在安装或导入这些版本时，恶意代码会自动执行，收集主机信息并上传至攻击者服务器。了解这些特征有助于用户识别潜在的安全威胁，及时采取措施防范。
延伸问答
Xinference的恶意版本有哪些？
恶意版本包括2.6.0、2.6.1和2.6.2。
用户应该如何处理受影响的Xinference版本？
用户应立即降级至安全版本2.5.0，并进行全面排查与防护。
此次供应链攻击的主要影响是什么？
攻击者窃取用户的敏感数据，包括云凭证、SSH密钥和API令牌等。
如何检查当前安装的Xinference版本？
可以使用命令：pip show xinference | grep Version。
此次事件对开源组件安全有什么启示？
事件强调了开源组件的安全审计和供应链安全的重要性，呼吁建立常态化的安全审计机制。
用户在发现异常后应采取哪些安全措施？
用户应撤销并轮换所有敏感凭证，开启双因素验证，并定期检查系统日志。
