知名壓縮軟件xz-utils被發現植入後門 多個Linux發行版中招

libarchive未有cve？

BTW審閱中
https://github.com/libarchive/libarchive/issues/2103

潛入兩年都幾有心...

老實講呢d野會越來越難做
本身大open source proj都有automation可以audit vulnerability
將來可以用AI做更深度既檢查
不過未有

唯一知道嘅backdoor係xz靠libsystemd入sshd
但係佢operate咗成兩年，根本唔知道已經成功埋咗幾多expoloit

好大粒花生

cls , open source 都搞，正仆街，呢d冚家鏟應該永久禁足internet

大陸姓譚都係Tan

真心癲呢單嘢
Jia Tan 如果有政府背景，
足以影嚮第三次世界大戰嘅勝負

唔緊要啦 , Win10 / Win11 而家會強制 update 㗎嘛

免費野永遠係最貴

正解

咁又冇咁跨張
呢啲case 每兩三年就會爆一單出嚟㗎喇

睇返某國某黨插針手法就知合乎囯情.. 兩年唔長啦...

Windows用7zip咪好囉

你可能諗多左
auto check未必有用
因為條友去埋d oss fuzz呢類tool到落手
https://twitter.com/delphij/status/1773898875365183535

咁咪中曬？
有咩linux唔用xz/systemd/ssh?

backdoor邊度都有，有啲公司直頭會受政府壓力有官方backdoor，open source 好處就係會可以揾到出嚟

Cls

Open source 比人亂commit野

Windows直情得MS先改得


依單野比左做log4j 2.0

屌你老母，咩叫「一起事件」
一綜就一綜

MS生態黎講，圖中log4j個位換成AD/kerberos都係咁上下

竟然覺得不透明比透明好？
點會俾人亂commit，正常會review
係呢個project無人跟
又至於點解open source世界咁少人有動力main呢…

就算係 commercial product
好多都唔係真係咁多人 main

透明 同 亂比人edit right係兩回事。


你可以比人view你個code，有透明度。
但唔好open source，比外人有edit right。

唔open source 大家點一齊main

另外有pull request 唔會任何人話改就改到

比人睇咪就係open source囉。。。

就係唔好比外人main


我認為Open-source從來只可以比外人view right，
Edit right只可以自家員工 先可以edit。成個security risk細左