【核弹级安全事件】XZ Utils库中发现秘密后门，影响主要Linux发行版，软件供应链安全大事件_cve-2024-3094

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新Linux运维全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上运维知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip1024b （备注运维）

正文

Red Hat 发布了一份“紧急安全警报”，警告称两款流行的数据压缩库XZ Utils（先前称为LZMA Utils）的两个版本已被植入恶意代码后门，这些代码旨在允许未授权的远程访问。

此次软件供应链攻击被追踪为CVE-2024-3094，其CVSS评分为10.0，表明其严重性极高。它影响了XZ Utils的5.6.0版本（2月24日发布）和5.6.1版本（3月9日发布）。

这家IBM子公司在一份咨询报告中表示：“通过一系列复杂的混淆操作，liblzma构建过程从源代码中存在的伪装测试文件中提取出一个预构建的目标文件，然后使用该文件修改liblzma代码中的特定函数。”

“这将生成一个被修改的liblzma库，任何链接到此库的软件都可以使用该库，从而拦截和修改与此库的数据交互。”

具体来说，植入代码中的恶意代码旨在通过systemd软件套件干扰SSH（安全外壳）的sshd守护进程，并可能使威胁行为者在“适当情况下”破坏sshd认证并获得对系统的未授权远程访问权限。

微软安全研究员Andres Freund于周五发现并报告了此问题。据称，高度混淆的恶意代码是由一名名为Jia Tan（JiaT75）的用户通过GitHub上的Tukaani项目分四批提交引入的。

鉴于数周以来的活动情况，提交者要么直接参与其中，要么他们的系统受到了相当严重的破坏，”Freund说，“遗憾的是，鉴于他们在各种清单上就‘修复’问题进行了沟通，后一种情况看起来不太可能。”

微软旗下的GitHub已因违反服务条款而禁用了Tukaani项目维护的XZ Utils存储库。目前尚未有关于野外活跃利用的报告。

最全的Linux教程，Linux从入门到精通

======================

1. linux从入门到精通(第2版)

2. Linux系统移植

3. Linux驱动开发入门与实战

4. LINUX 系统移植 第2版

5. Linux开源网络全栈详解 从DPDK到OpenFlow

第一份《Linux从入门到精通》466页

====================

内容简介

====

本书是获得了很多读者好评的Linux经典畅销书**《Linux从入门到精通》的第2版**。本书第1版出版后曾经多次印刷，并被51CTO读书频道评为“最受读者喜爱的原创IT技术图书奖”。本书第﹖版以最新的Ubuntu 12.04为版本，循序渐进地向读者介绍了Linux 的基础应用、系统管理、网络应用、娱乐和办公、程序开发、服务器配置、系统安全等。本书附带1张光盘，内容为本书配套多媒体教学视频。另外,本书还为读者提供了大量的Linux学习资料和Ubuntu安装镜像文件，供读者免费下载。

本书适合广大Linux初中级用户、开源软件爱好者和大专院校的学生阅读，同时也非常适合准备从事Linux平台开发的各类人员。

需要《Linux入门到精通》、《linux系统移植》、《Linux驱动开发入门实战》、《Linux开源网络全栈》电子书籍及教程的工程师朋友们劳烦您转发+评论

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化的资料的朋友，可以添加V获取：vip1024b （备注运维）

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！