《半秒之間》：把 XZ 後門事件寫成三個人的證詞
LWN.net · 2026-07-18
LWN.net 於 2026 年 7 月 18 日刊出書評,評論 Adrian Mastronardi 撰寫的紀實作品《Half a Second》(半秒之間)。這本書以三條敘事線重現 2024 年 xz-utils 後門事件:一名被操縱的志工維護者、一名靠直覺揪出攻擊的工程師,以及一名至今身分未明的幕後操盤者。全書目前以創用CC授權免費公開線上閱讀。
背景:五百毫秒揭穿的供應鏈攻擊
2024 年 3 月,時任微軟工程師、PostgreSQL 開發者的 Andres Freund 在為資料庫效能除錯時,注意到透過 ssh 登入伺服器比平常慢了約半秒。這個看似微不足道的延遲,最終讓他揪出藏在資料壓縮函式庫 liblzma(xz-utils 專案的一部分)裡的後門,編號為 CVE-2024-3094。攻擊者以化名 Jia Tan 的身分,花費將近兩年時間取得 xz-utils 維護者的信任,才把惡意程式碼植入 xz 5.6.0 與 5.6.1 版本的建置腳本中。這起事件因波及範圍廣(liblzma 是多數 Linux 發行版 sshd 相依鏈的一環)、攻擊手法極為隱密,被視為近年最嚴重的開源供應鏈攻擊案例之一,書名《半秒之間》正是取自 Freund 當時注意到的那段延遲。
核心內容:三個人的三種視角
根據 LWN 的書評,《Half a Second》並非傳統的技術報告,而是以敘事手法交錯呈現三個人物。
- 一名因長期單打獨鬥、身心俱疲的志工維護者,如何在社群壓力與看似善意的協助者面前逐步鬆懈戒心
- 一名工程師如何憑藉「半秒鐘的好奇心」,在一連串巧合與長年累積的直覺下揪出攻擊
- 一名至今未被指認身分的幕後操盤者,如何規劃並執行這場長達兩年的滲透
作者 Adrian Mastronardi 選擇不直接指名道姓,而是用職務與情境描述取代真實姓名,讓讀者聚焦於事件本身的結構,而非追究特定個人責任。這本書目前以非商業、禁止衍生作品的創用CC授權條款,免費提供線上閱讀。
影響範圍:文筆評價兩極
LWN 的讀者留言對這本書的評價並不一致。不少留言者認為書中文字風格過於雕琢、句式重複,甚至懷疑部分段落可能經由 AI 輔助生成。對於想深入了解攻擊技術細節的讀者,書評與留言區都指向 Russ Cox 於事件爆發後撰寫的攻擊時間軸分析,認為那篇技術文章在還原攻擊鏈的精確度上更勝一籌。換言之,《半秒之間》更適合作為理解事件人性面與社群治理問題的讀物,而非技術複盤的第一手材料。
Collabora 為 Valve Steam Frame 打造 Arch Linux aarch64 版本「Holo Core」
Collabora Blog · 2026-07-17
Collabora 在 2026 年 7 月 17 日發布部落格文章,公開了名為 Holo Core 的 Arch Linux aarch64 移植版首個預覽版,這是 Valve 即將推出、採用 ARM64 處理器的獨立 VR 頭戴裝置 Steam Frame 所使用的作業系統基礎。LWN.net 同日轉載並補充了移植過程的技術細節。這是在 Arch Linux 官方目前仍不支援 aarch64 架構的情況下,由第三方廠商完整建置整套發行版的少見案例。
原本的問題:Arch Linux 官方不支援 aarch64
Steam Frame 是 Valve 規劃推出的 ARM64 架構獨立 VR 裝置,有別於既有 x86_64 架構的 Steam Deck。Valve 一貫以 Arch Linux 作為 SteamOS 系列的基礎,但Arch Linux 官方發行版從未提供對 aarch64 架構的正式支援,也沒有對應的官方套件倉庫與建置基礎設施。這代表 Collabora 若要沿用 SteamOS 一貫的 Arch 基礎,就必須從零開始重建一整套 aarch64 的套件建置與相依關係解算流程,而不能像 x86_64 版本一樣直接沿用上游現成的套件庫。
採用的方法:建置重放與時間點快照
根據 Collabora 部落格與 LWN 的報導,Holo Core 引入了一套稱為「build replay」的機制:先計算出目標套件的完整相依關係樹,再依照 Arch Linux 上游的建置歷史逐步「重演」整條建置鏈,最終產出對應到特定時間點快照(如 mash-20251118.3)的可重現 aarch64 環境。Collabora 目前已釋出原始碼、預先編譯好的二進位套件,以及供開發者直接使用的容器映像檔,原始碼與套件皆存放於 gitlab.steamos.cloud/holo/holo-core-aarch64-preview 專案下。這套系統讓開發者可以立即在 aarch64 硬體或模擬環境上取得一份能開機、可安裝套件的 Arch 基礎環境,不必自行處理交叉編譯與相依關係解算的繁瑣工作。
實際效果:仍是快照,尚未追上上游
目前釋出的 Holo Core 屬於某個時間點的快照,而非持續跟隨 Arch Linux 上游滾動更新的系統。Collabora 在文中坦言,下一階段的重點是把這套建置重放機制,轉變成能持續追蹤 Arch Linux 上游套件版本演進的系統,理想情況下能與 Arch Linux 社群自身正在推進的 ARM64 官方支援工作接軌,而不是各自維護一份平行的套件庫。這也意味著,現階段的 Holo Core 更適合開發者用來提早驗證 Steam Frame 上的軟體相容性,而非視為一個長期穩定的發行版基礎。
原始來源:Collabora — Building an Arch Linux aarch64 port for Holo Core、LWN.net 報導
Linux 穩定版 7.1.4 發布:五千多行變更涵蓋多項安全修補
LWN.net(轉載 Greg Kroah-Hartman 公告)· 2026-07-18
Linux 核心穩定版維護者 Greg Kroah-Hartman 於 2026 年 7 月 18 日發布 Linux 7.1.4,LWN.net 同日轉載完整公告內容。公告明確要求「所有使用 7.1 系列核心的使用者都必須升級」。這次更新總計變更 512 個檔案,新增約 5,914 行、刪除約 3,388 行程式碼。
背景:穩定版釋出的例行節奏
Linux 核心的穩定版(stable)分支由 Greg Kroah-Hartman 領銜的小組維護,針對已發布的主線版本回溯修補程式錯誤與安全性問題,不引入新功能。7.1.y 是目前仍在維護中的其中一條穩定分支,7.1.4 是這條分支最新的一次點版更新。公告以 Greg Kroah-Hartman 慣用的制式信件格式發出,寄至 linux-kernel@vger.kernel.org 等核心開發郵件論壇,並附上完整的變更檔案清單與逐一貢獻者名單,這份公告本身就是最原始的一手資料,LWN 僅原文轉載並附上索引。
核心內容:橫跨多個子系統的修補
根據公告內容,這次 7.1.4 的變更範圍相當廣泛,涵蓋以下幾個主要領域。
- 加密(crypto)子系統的多項修正
- 網路協定堆疊與多種裝置驅動程式的錯誤修補
- 檔案系統,包括
btrfs、exfat、xfs與smb用戶端 - KVM 虛擬化相關的競態條件與記憶體錯誤修正
- ARM64、LoongArch、RISC-V、PowerPC 與 x86 等多種處理器架構的特定修補
公告內容多次提及修補了記憶體洩漏與 use-after-free 類型的問題,這類錯誤在核心程式碼中往往與安全性風險直接相關,也是穩定版更新中最常見的修補動機之一。由於變更檔案數高達 512 個,單一次點版更新的規模已經接近部分中型專案一整年的變更量。
影響範圍:所有 7.1 系列使用者都在名單內
公告文字明確寫道「所有使用 7.1 核心系列的使用者都必須升級」,這是 Greg Kroah-Hartman 對穩定版公告一貫使用的標準措辭,用意在提醒散布版維護者與終端使用者,點版更新中的修補通常牽涉實際可被觸發的錯誤或安全性弱點,而非單純的程式碼整理。對於採用 7.1.y 分支作為維護基礎的發行版而言,這代表下一輪套件更新或核心包裝作業理論上都應納入 7.1.4。原始碼可透過 git://git.kernel.org/pub/scm/linux/kernel/git/stable/linux-stable.git 的 linux-7.1.y 分支取得,或透過 kernel.org 的網頁版原始碼瀏覽介面查閱逐行差異。