xzにバックドアが混入した件のまとめ(CVE-2024-3094) - Qiita

本記事は4月3日21:30（JST)時点で判明している事実をまとめたものです。誤りがあればコメントでお知らせください。 本記事には誤りが含まれている可能性があります。 新しい情報があれば随時更新します。 ** 4/2 18:30 Q&Aを追加しました。 4/2 11:30 実際にバックドアが存在する環境を作成し、攻撃可能なこと、出力されるログ等について追記しました。また、攻撃可能な人物は秘密鍵を持っている必要があることを追記しました。** ところどころに考察を記載しています。 事実は～です。～であると断定し、考察、推測、未確定情報は考えられる、可能性があるなどの表現としています。 またpiyokango氏のまとめ、JPCERT/CCの注意喚起もご覧ください。 なお、各国のCSIRTまたは関連組織による注意喚起の状況は以下のとおりで、アドバイザリを出している国は少ない状況です。 概要 問題の

[kz14]

攻撃者が攻撃可能な対象を特定できる機能はあるのだろうか？

[puhu208n]

インパクトがデカすぎるのか何なのか知らんが、一般人に知れてないんだよな。例えばNHKニュースなどに出てない。どこかその情報チャンネルが潰れたまま復帰してないのか。

[twatw]

影響はデカいんだけど、拡がる前の段階で止まったから影響が出てるのは一部の最新パッケージを積極的に利用する環境で、その手の環境使うユーザは総じてリテラシーが高い傾向にあるから局所的な話題に留まる感じ

[JULY]

影響を受ける／受けない、で、せめて「RHEL は影響なし」「Fedora 40 と rawhide は影響あり」ぐらいは書いてほしかったなぁ。

[aox]

すわFedoraと思ったら開発版ですね

[ya--mada]

実際に自分で動かしているのか。そういう点で価値のある記事ということね。

[so-apps]

目玉の数が十分なので、問題が発見された。最初からOSSとはこういうものだ。