3月29日，有消息稱在xz-utils軟件包5.6.0到5.6.1版本中，存在被供應(yīng)鏈攻擊并植入后門風(fēng)險。xz作為一種通用的數(shù)據(jù)壓縮格式，幾乎存在于所有開源和商業(yè)發(fā)行版的Linux操作系統(tǒng)版本。
麒麟軟件第一時間進(jìn)行分析排查，經(jīng)驗證，銀河麒麟桌面操作系統(tǒng)和銀河麒麟高級服務(wù)器操作系統(tǒng)均不受影響。
背景介紹
xz-utils軟件包如何威脅linux生態(tài)安全？
從5.6.0版本開始，在xz的上游tarball包中發(fā)現(xiàn)了惡意代碼。通過一系列復(fù)雜的混淆手段，liblzma的構(gòu)建過程從偽裝成測試文件的源代碼中提取出預(yù)構(gòu)建的目標(biāo)文件，然后用它來修改liblzma代碼中的特定函數(shù)。這導(dǎo)致生成了一個被修改過的liblzma庫，任何鏈接此庫的軟件都可能使用它，從而攔截并修改與此庫的數(shù)據(jù)交互。由于庫的使用如此廣泛，因此該漏洞的嚴(yán)重性對整個Linux生態(tài)系統(tǒng)構(gòu)成了威脅。
通訊員 | 張超
來 源 | 安全研發(fā)部
審 核 | 市場與政府事務(wù)部
