【供应链重大事件】XZ Utils 基础压缩组件恶意后门投毒事件（CVE-2024-3094）深度排查与阻断

【事件概述与震惊全球的投毒手法】
2024年4月初，开源社区披露了近年来最具潜伏性、工程极其复杂的开源供应链投毒事件（CVE-2024-3094，CVSS 评分为罕见的满分 10.0）。攻击者潜伏多年成为知名开源压缩组件 XZ Utils（liblzma）的核心维护者，在 5.6.0 与 5.6.1 版本中通过多阶段巧妙混淆的 m4 测试脚本，将恶意二进制代码悄然植入编译产物中。当特定的 Linux 发行版将带有后门的 liblzma 动态链接至 `systemd` 与 `sshd` 服务时，攻击者只需通过 SSH 协议发送特定的公钥凭证，即可绕过正常验证流程直接夺取系统的无阻碍 root 登录控制权。

【危害级别】
极危（CVSS 评分 10.0）。由于该后门旨在破坏最核心的基础网络身份验证，且具有高度反分析能力，对整个 Linux 生态构成了致命威胁。

【受影响系统版本】
• 采用 xz / liblzma 5.6.0 或 5.6.1 版本的 Linux 发行版（如 Fedora 40/Rawhide、Debian Testing/Unstable、Arch Linux 等）。

【排查与排险方法】
1. 执行命令核验系统中 liblzma 的版本：
$ xz --version
若显示版本为 5.6.0 或 5.6.1，说明处于高危失陷状态；
2. 立即将 xz 软件包降级至未受污染的 5.4.x 安全稳定版本（如 5.4.6）；
3. 鸿煌科技安全实验室已发布全量依赖排查自动化扫描规则，协助各研发团队进行软件物料清单（SBOM）供应链审查。