Colorfulhttps://gigglehd.com/gg/15761156
이 글에서 내용 확인한 후에 혹시 내 것도 백도어 버전이...? 라는 생각이 들어 조회를 해 봤습니다.
(현재 문제가 되는 버전은 5.6.0 및 5.6.1입니다.)
이런... 당첨입니다.
다만 버전 조회를 하실 때 주의하셔야할 점이, anaconda / miniconda를 설치하셨다면 기본 바이너리 위치가 miniconda 내의 그것으로 되어있어 다른 버전이 조회될 수 있기 때문에 which xz로 xz 바이너리 위치를 확인하고, xz --version / brew info xz <- 둘다 체크해보시는 게 좋습니다.
일단 조치 방법은 간단히 아래 커맨드로 xz를 구버전으로 설치하고 캐시를 지우면 됩니다.
brew cleanup xz --prune=0
brew install xz
이렇게 하면 5.4.6버전으로 자동 다운그레이드가 됩니다.
그렇지만 사실 이번 건은 주요 메인테이너가 저지른 짓인 만큼 현재 걸린 5.6.1버전 외에 과거에도 무슨 장난을 쳐 놨을지 알수가 없는 상태인게 문제입니다...
이것 외에도 쓰고있는 리눅스 머신이 한두개가 아닌데, 제 작은 노트북에서조차 이렇게나 의존성이 문어발같은 패키지가 이런 일이 벌어졌다는게 안타깝네요.
참고로 이 취약점은 CVSS Severity 10/10을 받았습니다.
여러분도 꼭 한번 확인해보시기 바랍니다.
MS의 Copilot 정책 - 인터넷 연결없이도 가능하게
NetBSD 10 공식 릴리즈
Neons
ExpBox
2. 이제 널리 알려진 오픈소스 프로젝트의 주요 기여자조차 의심해야 하는 상황이 되었어요. 어제 자료조사를 하다가 좀 덜 알려진 오픈소스 프로젝트를 잠깐 찍먹해보려고 했는데 얘네도 백도어 심어놓은 것 아냐? 덜컥 겁부터 나는거에요.