OSS

XZ Utils 後門（CVE-2024-3094）——由受信任的共同維護者發動的供應鏈攻擊

壓縮函式庫 xz 中被一名贏得信任的維護者植入了後門的供應鏈攻擊。一名技術人員注意到登入變慢，在即將進入穩定版的前一刻發現了它。被瞄準的不是程式碼，而是人與信任。教訓是：把相依套件最小化、固定版本、提高可重現性、追蹤違和感、支援維護者。