黑客潜伏两年后向 xz-utils 添加后门影响多个 Linux 发行版

黑客潜伏两年后向xz-utils添加后门影响多个Linux发行版本周五RedHat警告用户在最新版本的xz-utils数据压缩工具和库中发现了一个后门。这些恶意代码旨在允许未经授权的访问，而且这些受影响的版本已经被多个Linux发行版合并，但RHEL不受此影响。RedHat目前正在跟踪此供应链安全问题，编号为，严重性评分为10/10。xz是被Linux发行版广泛使用的压缩格式之一，xz-utils(LZMA-utils)是一个开源项目，2022年起有个名为JiaTan的账号开始向该项目贡献代码，然后逐步接手该项目成为项目的主要贡献者，也是该项目当前唯一的活跃贡献者。恶意代码经过混淆，只能在完整的下载包中找到，而无法在Git发行版中找到，因为缺少触发后门构建过程的M4宏。该恶意代码会修改系统中的OpenSSH，使攻击者可以使用精心构造的数据跳过RSA密钥检验，在未授权情况下授予攻击者不受限制的访问权限。——

Fwupd从XZ压缩转为Zstd压缩：信任度更高 性能还略有改善

Fwupd从XZ压缩转为Zstd压缩：信任度更高性能还略有改善Fwupd一直依赖XZ压缩其大型XML有效载荷，以加快网络下载速度并节省CDN资源。XZ的压缩效果比以前使用的Gzip更好。但出于对XZ项目的谨慎考虑，RichardHughes现在已转而使用Zstd。Zstd不仅更值得信赖，而且压缩后的元数据比XZ小3%，解压速度也更快。这一变化将在下周发布的Fwupd版本中体现。有关Fwupd从XZ迁移到Zstd的更多详情，请参阅本博文。...PC版：https://www.cnbeta.com.tw/articles/soft/1426082.htm手机版：https://m.cnbeta.com.tw/view/1426082.htm

XZ-Utils 5.6.0/5.6.1版本后门风险 (CVE-2024-3094) 高危

XZ-Utils5.6.0/5.6.1版本后门风险(CVE-2024-3094)高危XZ-Utils是Linux、Unix等POSIX兼容系统中处理.xz文件的常见套件。攻击者污染了上游Git仓库的build-to-host.m4构建脚本和测试用例，在编译期间向liblzma注入攻击代码。部分发行版的OpenSSHServer链接到libsystemd，而libsystemd依赖liblzma。因此您的sshd会执行被植入后门的代码。(简易排查方式)在Linux/Unix命令行输入xz--version如果输出为5.6.0或5.6.1，说明您的系统已被植入后门，非x64(amd64)架构的系统不受影响。线索：@ZaiHuabot投稿：@TNSubmbot频道：@TestFlightCN

广泛使用的 Linux 实用程序中发现的后门会破坏加密的 SSH 连接

广泛使用的Linux实用程序中发现的后门会破坏加密的SSH连接研究人员在压缩工具中发现了一个恶意后门，该后门已进入广泛使用的Linux发行版，包括来自RedHat和Debian的发行版。据发现该压缩实用程序的开发人员AndresFreund称，名为xzUtils的压缩实用程序在5.6.0和5.6.1版本中引入了恶意代码。目前还没有关于这些版本被合并到主要Linux发行版的任何生产版本中的已知报告，但RedHat和Debian都报告说，最近发布的Beta版本至少使用了一个后门版本，特别是在Fedora40和FedoraRawhide和Debian中测试、不稳定和实验分布。ArchLinux的稳定版本也受到影响。然而，该发行版并未在生产系统中使用。由于该后门是在xzUtils的恶意版本添加到Linux生产版本之前就被发现的，因此“它并没有真正影响现实世界中的任何人”。——

Windows 11文件资源管理器新增版本控制、7z和TAR压缩支持

Windows11文件资源管理器新增版本控制、7z和TAR压缩支持文件资源管理器将增加对版本控制的支持。即将到来的更新将把Git等系统直接集成到文件管理器的界面中。这意味着你无需离开资源管理器，就能跟踪更改、查看提交注释和监控版本库状态。这将会非常方便，因为它可以减少在集成开发环境、命令提示符和独立Git工具之间的切换。不过，对于编程人员来说，这也可能带来潜在的好处。从理论上讲，将最新项目文件直接同步到本地硬盘的功能可能会对设计模型等项目的协作者有所帮助。在其他方面，微软也在扩展文件资源管理器的压缩功能。当前右键菜单中的"压缩为ZIP"选项正在得到改进。更新后，还能将文件压缩成更现代的7z和TAR格式。7z提供比ZIP标准高得多的压缩率，同时还支持强大的AES-256加密以提高安全性。同时，TAR（通常与Gzip或Bzip2搭配压缩）是Unix系统上的热门选择，在处理大型数据集时大显身手。对这些格式的支持有助于减少对第三方压缩工具的依赖。这次更新似乎是在去年年底推出的KB5031455版本的基础上进行的，该版本大大扩展了Windows11文件资源管理器原生支持的归档格式。虽然操作系统从WindowsMe起就内置了ZIP支持，但这次发布的版本包含了RAR、7Z、TAR等多种格式，甚至还有TZST和TXZ等更生僻的格式。但这一更新只允许用户打开和查看这些压缩文件，最新版本还允许在右键菜单中直接进行压缩。在生产力方面，周一发布的由人工智能驱动的新功能Recall也值得一提。通过捕捉和整理工作快照，Recall可以让开发人员找到以前的工作会话、跟踪进度并检索资源。...PC版：https://www.cnbeta.com.tw/articles/soft/1431929.htm手机版：https://m.cnbeta.com.tw/view/1431929.htm