Arch Linux har stängt av möjligheten att registrera nya konton för Arch User Repository efter upprepade vågor av skadliga paketuppdateringar. Beslutet kommer efter att över 1 500 paket komprometterades förra veckan.
AUR, ett gemenskapsdrivet förråd för Arch Linux-användare, utsattes för upprepade attacker med start den 11 juni. Utvecklare identifierade en första grupp på över 1 500 påverkade paket som var kopplade till ett skadligt npm-paket vid namn js-digest. Efterföljande vågor den 13 och 14 juni använde olika metoder för döljande, inklusive delade strängar och lokal AI-detektering för att flagga poster. Dessa uppdateringar infogade skadliga skript i paket som webbläsarverktyg och skrivbordsappletar. Den 15 juni tillkännagav teammedlemmen Leonidas Spyropoulos att registreringar stoppas för att möjliggöra sanering. Archs huvudförråd förblir opåverkade. Användare uppmanas att granska alla PKGBUILD-filer före uppdateringar och rapportera problem via sändlistan aur-general.