XZ Utils backdoor

Em fevereiro de 2024, uma porta dos fundos maliciosa foi introduzida na compilação para Linux do utilitário XZ Utils, dentro da biblioteca liblzma, nas versões 5.6.0 e 5.6.1, por uma conta que usava o nome "Jia Tan". A porta dos fundos permite que um atacante que possua uma chave privada Ed448 específica execute execução remota de código por meio do OpenSSH no sistema Linux afetado. O problema recebeu o identificador Common Vulnerabilities and Exposures CVE-2024-3094 e obteve uma pontuação CVSS de 10.0, a pontuação máxima possível. Embora o xz esteja normalmente presente na maioria das distribuições Linux, no momento da descoberta a versão comprometida ainda não havia sido amplamente implantada em sistemas de produção, mas estava presente em versões de desenvolvimento de grandes distribuições. A porta dos fundos foi descoberta pelo programador Andres Freund, que anunciou as suas conclusões em 29 de março de 2024.