XZ 的後門事件從暴發出來也已經一個多月了，大多數的證據也都分析的差不多了，是差不多可以回顧一下... 然後發現維基百科上面也已經有條目了：「XZ Utils backdoor」，中文版也有：「XZ实用程序后门」。
這次是 open source community 遇到社交工程 (social engineering) 的攻擊，攻擊者順利透過社交手法取得 maintainer & developer 的身份，接下來是慢慢埋 backdoor 的過程。
目前看起來後門是判斷特定的 SSH key 就放行，所以屬於 RCE 類的漏洞，CVSS 給了 10.0 的最高威脅分數。
另外隔壁棚 OpenJS Foundations 也遇到類似的問題：「Open Source Security (OpenSSF) and OpenJS Foundations Issue Alert for Social Engineering Takeovers of Open Source Projects」，在「Failed Credible Takeover Attempt」這段有提到因為 OpenJS Foundations 是因為 security working group 擋下這次的 social engineering。
這是 xz 因為是 backdoor，所以在 performance profiling 時異常而被抓出來，如果是 exploitable 的話就難抓了... 這次的 social engineering 之後有看到一些不同的討論，有些是技術上把 security auditing 拆出來一起做，另外一種是要確保參與的 maintainer & developer 的真實身份。
已經可以看到影響了...