今時オプチャじゃないグループでそういう事やってる人おるんや🥹

QT https://handon.club/@gomama/112183813362797649

このアカウントは、notestockで公開設定になっていません。

ほんとだ、よくミラーしてたな

とはいえ、issueがぶち飛んだのは痛い

QT https://mi.kuropen.org/notes/9rhd27nw9h

悪意持ったコミッターが急に来てコード混ぜこんでましたよ、とかならまだええんよ。

今回の件、関わってる（とされている）ユーザーは2年近くに渡ってコミットし続けてるわけで、まだ見つかってないものが仕込まれてる可能性もかなり高いはず。

直近のバージョン以下なら安全みたいな話になってる状況を考えると、調査のためにもリポジトリは開いとくべきだった。
マルウェアを配布しないためなら、releaseページだけ止めればよかったのでは

NextCloudってS3互換のストレージ扱えるのか！
ストレージ容量少ない鯖でホストしたいけどネットワークマウントとかするのはめんどいなぁとか思ってたから、超ありがたい知見👀
（S3互換のストレージ使う発想がなかった）

QT https://mi.okin-jp.net/notes/9rhc0ntvq45b02cw

このアカウントは、notestockで公開設定になっていません。

だとしてもこのタイミングで止めるのは一番駄目な手法だった…
issueで色々情報交換も行われてたのになー

QT https://mastodon.zunda.ninja/@zundan/112183435085269058

これ、もうGitHub的にはxzは使うなってスタンスなのか…？

@askyq そこまで行くと、普通にサーバー借りたほうが安くなりそうな気も

あ…xzのリポジトリ止められてる

今それはまずくないか…？

1週間経ってた

最終話だから…？

QT https://abyss.fun/@guskma/112181457536678846

このアカウントは、notestockで公開設定になっていません。

また変なことやりだしたな

QT https://abyss.fun/@guskma/112179363445882490

このアカウントは、notestockで公開設定になっていません。

人の悪意って怖いねぇ…
どうして悪いことのためにそこまで労力を割けるのか…

> It's possible that the bad actor modified old commit logs and whatnot

コミットログの改変か…
確かにメンテナーならそれも可能なのか…？

とりあえず、gitではこのメンテナーがしたコミットをrevertする動きになってる。

https://github.com/tukaani-project/xz/pull/95

なんか、海外ではむしろリボ払いが定番って聞いたことがあるなー

QT https://mi.kuropen.org/notes/9rgruvqd3l

眠い。二度寝しよ。

メンテナーが悪人って、今まで考えもしなかったけど、そりゃありえる話なんだよなぁ…

内容の精査は必要だと思うけども。

https://boehs.org/node/everything-i-know-about-the-xz-backdoor

@kuropen Github履歴的には、関係しているユーザーは少なくとも5.2.10リリースには関わってるんですよね…

どこから悪意を持って動いていたかは分からない（そもそもずっと中身が同じかもわからない）ですが、現時点ではなんとも言えないんじゃないかなぁという気持ちです

これ、Githubアカウントが乗っ取られたとかの可能性もあるんかな…🤔
今のところは推測にしかならんか…🥺

うーん、なるほど
悪意あるコードは埋め込まれつつも、実際にそれがアクティブになるのはリリースtarボールだけって感じやな

これ、現状5.6.0以上って言われてるけど、しばらく状況注視しとくほうが良さそう
過去に仕込まれてたとしてもおかしくはない気が

https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

@askyq ありがとうございます！
リアクション頂いてたのでご存知だと思うんですが、結局普通に取れました…🥹

今となってはもう分かんないですが、一時的に429とかで弾かれてた可能性があるのかなぁとかおもてます…

QT https://mstdn.yuicho.net/@yuicho/112178513035584297

さらにめも

https://nvd.nist.gov/vuln/detail/CVE-2024-3094

獣耳ショタ短パン白衣！？ｶﾞﾀｯ

QT https://misskey.cloud/notes/9rgogp5657

このアカウントは、notestockで公開設定になっていません。

めも
https://github.com/advisories/GHSA-rxwq-x6h5-x525

ざっと見た感じ、ちょっとずつちょっとずつ悪意あるコードがcommitされていて、なんかのトリガーでtarで固めたバイナリになった時点で発動するようになってる…？

https://github.com/tukaani-project/xz/issues/92

起きたらヤバそうな話出てたから確認したけど、とりあえず大丈夫だった

QT https://mastodon.social/@cslinuxboy/112180542293904078

このアカウントは、notestockで公開設定になっていません。