供应链后门、xz/liblzma、CVE-2024-3094 及我们目前所知的情况

摘要

回顾 CVE-2024-3094 xz/liblzma 供应链后门事件：微软工程师 Andres Freund 因 SSH 登录异常延迟与 CPU 占用偏高顺藤摸瓜，揪出由潜伏两年多的贡献者 Jia Tan 精心植入的后门，堪称软件供应链安全的标志性案例。