Conversation

Notices

Embed this notice
AOE, Takashi (aoetk@fedibird.com)'s status on Monday, 01-Apr-2024 13:54:30 JST AOE, Takashi

> 長い時間をかけてプロジェクトオーナーの信頼を勝ち取り、メンテナンスを任された開発者が意図的に混入させた
これは確かにやばい。悪意のある第三者がクラックして仕込んだのではなく、コミッタが巧みに悪意のあるコードを混入するケースというのは初めて見た。 /
「XZ Utils」にバックドア、オープンソースエコシステム全体の信頼を揺るがす事態に - 窓の杜 https://forest.watch.impress.co.jp/docs/news/1580604.html
In conversation about 8 months ago from fedibird.com permalink
Attachments
1. Domain not in remote thumbnail source whitelist: forest.watch.impress.co.jp
  
  「XZ Utils」にバックドア、オープンソースエコシステム全体の信頼を揺るがす事態に／0.5秒の遅延からたまたま発覚、数年をかけた周到なやり口が明るみに
  
  from 株式会社インプレス
  
  　Linux環境で広く利用されているツール「XZ Utils」に3月29日、バックドアが発見されたとのこと（CVE-2024-3094）。Red Hatが評価した「CVSS 3」のベーススコアは、「10.0」（Critical）。長い時間をかけてプロジェクトオーナーの信頼を勝ち取り、メンテナンスを任された開発者が意図的に混入させたという悪質性や、当該ツールが複数の主要なLinuxディストリビューションで採用されており、「OpenSSH」をはじめ影響が広範囲に及ぶ点などが話題を呼び、オープンソースソフトウェアのサプライチェーンのあり方が問われる事態となっている。

Public

Conversation

Notices

Feeds