【长亭科技技术支持】关于防范利用xz-utils恶意代码植入漏洞实施网络攻击的风险提示

近日，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，Linux压缩工具xz-utils存在恶意代码植入漏洞，可被恶意利用实施网络攻击。

xz-utils是Linux系统下一款用于压缩和解压.xz格式文件的开源软件，由于攻击者以开源项目维护者身份在项目文件中植入恶意代码，并通过开源社区分发，导致用户在使用带有恶意代码的xz-utils软件时，可被攻击者利用恶意代码执行任意命令，获取系统权限。经初步排查，该漏洞影响xz-utils 5.6.0和5.6.1版本。

目前官方尚未发布针对此漏洞的修复方案，建议相关单位和用户立即通过“xz --version”命令排查系统本地是否安装受影响的xz-utils版本，尽快回退xz-utils至5.4.x版本，并持续关注所用Linux发行版的官方安全通知，获取安全补丁和更新的最新信息，防范网络攻击风险。

感谢奇安信网神信息技术（北京）股份有限公司、北京微步在线科技有限公司、北京长亭科技有限公司、深信服科技股份有限公司、北京天融信网络安全技术有限公司提供技术支持。