摘要
CVE-2024-3094 是一次针对开源项目发布流程的供应链攻击。恶意逻辑主要存在于发布归档及其构建流程中，而不是以直观形式出现在公开 Git 源码里；这让常规源码审查难以及时发现异常。
事件提醒我们：版本号、源码仓库和最终构建产物并不是天然等价的信任对象。
影响范围
核心受影响版本为 XZ Utils 5.6.0 和 5.6.1。实际风险与发行版、构建参数、体系结构及服务组合有关。多数稳定版 Linux 发行版没有正式发布这些版本，但滚动发行版、测试分支和部分预发布环境可能曾经包含它们。
防守检查
- 建立软件物料清单，定位所有 XZ Utils 5.6.0/5.6.1 实例。
- 不只检查包管理器数据库，也检查容器镜像、构建缓存和手工安装路径。
- 回退到发行版明确标记为安全的版本，并重新构建可能受污染的镜像。
- 比对发行版公告，确认包的来源、签名和构建时间线。
研究结论
这起事件的长期价值在于构建与发布安全：可复现构建、发布归档与源码的差异审计、维护者账号保护，以及对高影响依赖的行为基线，都应成为供应链防御的一部分。