SSH 登录慢了 0.5 秒：一个工程师意外拦下潜伏两年多的 xz 后门
TL;DR：2024 年 3 月，工程师 Andres Freund 因为 SSH 登录变慢、CPU 占用异常，发现压缩库 xz 的 5.6.0 和 5.6.1 版本被植入后门（CVE-2024-3094）。这个后门挂在 sshd 的认证环节上，出自一个长期参与项目、最终拿到维护权限的账号“Jia Tan”。已经确认的是后门存在及其植入机制；幕后是谁，至今没有公开定论。 这是 2024 年的旧事，不是今天的新闻，但它仍是开源供应链安全的经典案例。 xz Utils 是 Lin