开源软件被曝植入后门，国产银河麒麟系统未受影响

近日，关于xz-utils软件包5.6.0到5.6.1版本存在供应链攻击和后门风险的消息引起了广泛关注。作为广泛应用于Linux操作系统的通用数据压缩格式，xz的漏洞引发了对整个Linux生态系统安全性的担忧。

​据了解，从5.6.0版本开始，恶意代码被发现存在于xz的上游tarball包中。攻击者采用了一系列复杂的混淆手段，将预构建的目标文件从伪装成测试文件的源代码中提取出来，并用它修改了liblzma代码中的特定函数。这导致生成了一个被篡改过的liblzma库，任何链接此库的软件都可能受到攻击者的拦截和数据篡改。由于该库的广泛应用，这个漏洞对整个Linux生态系统构成了巨大的威胁。

值得注意的是，由于xz作为一种通用的数据压缩格式，几乎存在于所有开源和商业发行版的Linux操作系统版本中。因此，这个供应链攻击和后门风险对于所有使用xz的系统都具有严重的影响。攻击者可以利用篡改后的库对数据进行操纵，造成数据泄露、恶意代码执行等安全问题。

面对这一威胁，Linux社区和开发者们正在积极采取措施来应对。首要任务是对受影响的版本进行修复，确保用户的系统能够及时升级到修复后的版本。同时，加强开源软件的安全审查和验证过程，以减少类似供应链攻击的风险。

国内应用最广泛的国产银河麒麟操作系统表示，其银河麒麟桌面操作系统和高级服务器操作系统均未受此影响，可放心使用。用户和企业也应该密切关注其他厂商和社区的安全公告，并及时更新和升级相关软件包。在确保系统安全的前提下，加强网络安全防护，使用合适的防火墙和入侵检测系统，提高系统的抵御能力。

xz软件包供应链攻击和后门风险的曝光引起了整个Linux生态系统的警惕。面对这个威胁，各方需要共同努力，加强安全意识和措施，确保Linux系统的稳定和可靠性。只有通过合作与协作，才能有效应对这样的安全挑战，保护用户的数据和隐私安全。