Arch Linux AURマルウェア、1,579件超のパッケージに影響・全容は未解明

サプライチェーン攻撃により、AURの自動セキュリティレビューの欠如が突かれ、コミュニティが管理する少なくとも1,579件のパッケージが侵害された。メンテナーは特定された悪意のあるコミットをすべて削除したものの、1,579件という数字が影響を受けたすべてのリポジトリを網羅しているわけではないと認めている。この期間中にAURパッケージを取得したArchシステムは、手動で監査するまで安全性が確認できない状態にある。自動ロールバックや影響を受けたユーザーへの通知機能は存在せず、感染経路、ペイロード、および影響を受けたユーザーの総数は、報告時点で未公開となっている。

出典： phoronix.com ↗

それは「影響を受けたパッケージの多く（ただし全てではない）を含むリストだ」

Arch Linux開発者

なぜ重要か

→ 1,579個以上のArchパッケージが侵害され、ユーザーは手動監査なしでは感染を特定できない。
→ AURには自動セキュリティスキャンがなく、大規模なサプライチェーン攻撃を可能にしている。
→ ロールバックメカニズムや影響を受けたユーザーへの通知システムが存在しない。

サプライチェーンの大惨事