Arch Linux 19

公式
https://www.archlinux.org/

ArchWiki
https://wiki.archlinux.org/

フォーラム
https://bbs.archlinux.org/

インストールガイド (英語, 日本語)
01. https://wiki.archlinux.org/index.php/Installation_guide
02. https://wiki.archlinux.jp/index.php/%E3%82%A4%E3%83%B3%E3%82%B9%E3%83%88%E3%83%BC%E3%83%AB%E3%82%AC%E3%82%A4%E3%83%89

※ 質問はインストールガイドを熟読し、ArchWiki、フォーラムを検索してから。
※ 次スレは>>980が建てること。

前スレ
Arch Linux 16
https://mao.5ch.net/test/read.cgi/linux/1613324251/
Arch Linux 17
https://mao.5ch.net/test/read.cgi/linux/1659058308/
Arch Linux 18
https://mao.5ch.net/test/read.cgi/c/linux/1703764780/

不満が出たら自分で改造すれば良いしdwl使ってる

dwlは放置気味だし、いまならriverで始めるのがいいのかもな。

なんかAURに大量の悪意あるアップデート来てるな

https://lists.archlinux.org/archives/list/[email protected]/2026/6/

npmのサプライチェーン攻撃かぁ…

arch はなんか狙われるねw

そりゃ自力で何もしなければほぼノーガード状態になるからターゲットとしては一番いい

Arch と RH/Fedora は狙われるけど Debian って狙われないね。
全部古いせいかな

常に新しいぶん気づいた時の修正も早いけど未知の穴も多いんでないかな

単純にユーザー数が多いからハッカー側のコスパが高いということだろう
数が多いから話題になってるけどやってることはorphanになってるパッケージの乗っ取りと有名なパッケージのtypo狙いという前からあるしょうもない手法だし

npmもarchもザルだからだ

人口多いとこ狙わんと
debianて誰も使ってないし

たとえば競合するディストリビューターが関与していることはないの？
最近大型アップデートしたにもかかわらず　海外でボロクソに叩かれている会社があるけど

やっぱfontconfig 2.18.x がクソ

https://archlinux.org/news/active-aur-malicious-packages-incident/

> Active AUR malicious packages incident
>
> 2026-06-12 - Campbell Jones
>
> We are currently experiencing a high volume of malicious package adoptions and updates in the Arch User Repository.
>
> We are actively working to track down existing malicious commits and attempting to prevent additional malicious commits from being pushed. While this is happening, and while we work to create a more permanent solution, users may see issues with the following:
>
> Creating new accounts on the AUR
> Pushing package updates
> Adopting or creating new packages
>
> We continue to encourage all users of AUR packages to review all PKGBUILD and install script changes when updating, especially during this time. If you notice suspicious commits to a package that you use, please reach out to Arch staff via the aur-general mailing list with more information.

AUR 嫌いな arch 本家の人がやってたりしてw

やってることのレベルが明らかに低いし前にDDoSしかけてきた連中では

>>803
Ubuntu、はっ！
影にあの組織が？！

>>810
参ったな.400はマルウエアに感染らしいな

400どころか1500以上らしいよ

Arch Linux Now Believes Malware Incident Under Control: More Than 1,500 Affected Packages
ttps://www.phoronix.com/news/Arch-Linux-AUR-More-Than-1500

wget https://cscs.pastes.sh/raw/aurvulntest20260611.sh

bash ./aurvulntest20260611.sh

Clean: None of the known infected packages were installed within 2 days of the campaign.

これでい良いのか？

ArchってDEがガバガバなんだよなぁ…
そりゃこうなるわと思ったけどな間抜けというかなんというか

>>817
DEがガバガバ？？なに頓珍漢なこと言ってんの
お前、なにが起きてるのかまったく理解できてないだろw

俺も理解していないけど上のスクリプトが
grep -qE 'Jun 9|Jun 10|Jun 11|Jun 12|Jun 13'; then
found+=("$pkg")

とあるから
Arch_bac20260608-153727があるからバックアップから復元しとくか

なんだAURだけか。使ってないからどうでもいいわ。
どうせほとんどがコンパイル必要だし、かといってbinaryのやつは危ないし。

攻撃者はAIだ
そんな面倒な作業を人手で1579回も出来るか
低レベルな単純作業の繰り返しが可能なのはあの低脳機械に違いない

じゃあAIで対策しろアホ

強盗に門を守らせろと言う人にアホと言われたようだ

AI は知恵遅れ

AI は知恵遅れ　

強盗は人間だから人間の警備員は強盗だと言ってるレベル

>>823
お前が守れよアホ

人間とAIの区別がつかない人間がいたってお前の大好きなAIが言ってたよ

つ鏡

用意万端じゃん、でも自分のアホ面見るためだったら目の前のやつの電源切るだけで充分なんだぜ

もし・・AURが使えるディストリビューションが使えなくなったら
次は何を使ったら良いんだろ？

しょうがないから、インストールしなおしてpacmanだけにするか

Votes多いやつ以外利用してなかったけど不安な気持ちで使い続けるより良いかと思ってAUR無しで入れ直したよ
週末の時間あるときにわかって良かった

さらに難読化されたマルウェアがザクザク出てきてると

Arch Linux AUR Hit By Another Wave Of Now More Sophisticated Malware Attack - Phoronix
https://www.phoronix.com/news/Arch-Linux-AUR-More-Malware

>>832
だな
やっぱAURよりはFlatpakやAppImageを使ったり、自分でソース拾ってきてビルドするほうがいいと思うわ
まぁ、俺らはそういうやり方に慣れてるからいいけど
問題はイキってArch派生を使ってるライトユーザーたちよ…

>>833
Votesは重要な判断材料の一つだったけど
攻撃者と見られる不正なアカウント取得が多発してる状況下じゃなぁ…

>>834
難読化というけど実行してるコマンドはどう見ても不審なのが明らかじゃねーか
PKGBUILDチェックしたらこんな行書かれてるパッケージ入れるわけないわ

AURのアプリを全削除したわ
gitに無いアプリは本当にどうしよ…
ソースも無ければビルドもできない
あきらめるしかないか…？

この場合の難読化というのは人間相手じゃなくてAIにとっての難読化

#~ pacman -Qmq | tee AUR1.txt
#~ wget -O ~/AUR-Malware.txt https://md.archlinux.org/s/SxbqukK6IA

とりあえずAUR1.txtとAUR-Malware.txtのリストの重複がないからAURの更新はしないで
俺は様子見だな

再インストールしてめんどうだったのが、nordvpn
まさにaurは神だった

いうて自分でPKGBUILD書けばいいだけの話だし何でここまで騒がれてるのかコレガワカラナイ

騒ぎ立ててるのはArch使ったこともない人達でしょう
普通にAUR使ってて引っかかるのは稀だし数が大きいからインパクトあるように見えるだけで中身は大した話じゃないし今に始まったことでもない

AURがー言ってたらArchの利点がなくなるじゃん
そんなに言われたらArch使ってるヤツがバカみたいじゃん…

へーそうなんだ
キミにはAURしか価値が無いんだね

gnome-shell-extension-dash-to-dock
gnome-shell-extension-ddterm-git
gnome-shell-extension-kimpanel-git

ここらへんはともかく

cmake3-bin
dxvk-bin
amf-amdgpu-pro
vulkan-amdgpu-pro

ここらへんはAURを使わずに手動でインストールするなら他のディストリを使うな

AURの利用はリスクを孕むもので安易な導入は憚られるけど
公式に沿わないプロプライエタリなやつとか開発版の置き場として有用だし
開発が始まって間もない新進気鋭のアプリの公開場所としても開発者やユーザーに人気だもんな

特に俺ら日本人としてはAURで公開されてる最新の日本語入力のHazkeyやKarukan
あるいはAnthyの後継のAnthy-Unicodeなんかの公式昇格を後押ししなきゃ将来的に困る訳だし

「このミサイルの追尾プログラムは解析できたか？」
「GitHubにありました！」
「あるんかーい」

AURは消えても別に困らないだろ
消えて一番困るのはgithubだわ

頑張れCodeberg！

おじさんの俺はArch系はむずくて使っていないが
AURものは使う前にセキュリティサービス等(今話題のAIとか)でウイルス・マルウェアが入っていないか調べてから使うって感じがするんだが
ノーチェックで使っている奴が多いのかな。
俺ですらバイナリ配布か超普通のWinの野良物はセキュリティサービスで確認しているし
まぁ、今後はArchの中の人が気合を入れてAURのやばい物を排除してくれるんだろうが

>>822
いまやAIは当たり前って感じになっているから
ニュース読んでarch中の人がAI等を使ってAUR内の悪い物対策ぐらいしていたんじゃないのかって思た
が、何にもしていなかったんだろうな(お金なくてやりたくてもできなかった？)
でも、今後はAURの安全対策のための寄付がAUR利用者から来るだろうから対策するだろう

AIはそんな魔法の道具じゃないけどな…
平易なBashスクリプトで書かれていて読みやすいのがAURのビルドレシピの特徴で確認したり共有するのが楽なのにそれすら難しいレベルのユーザーがAI使いこなせるとは思えない

マルウェアチェックのスクリプトでCleanだったんで一安心だけど
汚染パッケージリストにはfcitxまで載っててやれやれって感じ

これ相当マイナーで放置されてるやつがやられただけか？
AUR普通に世話になってるからやべぇと思ったけど、とりあえず現状別に問題なさそうだった

とりあえず一つのノートはniriが快適に動いたのでfedoraに変えた。
aurが落ち着くまでこれでいく

落ち着くことあるの？

コミュニティパッケージっていう文化の問題だから
Archだけが特別危険と言うわけではないし
規模の大きいArchが狙われただけで他のディストリも同じく危険
epelだっていつやられるかわからんよ

落ち着くまでっていうなら
デスクトップアプリだけならflatpakとかじゃね？

fcitx4なんてとっくに開発終わってるんだからfcitx5に移行しておけよ
影響受けてる有名っぽいパッケージは大体どれも昔に新しいバージョンに移行したやつとかタイポスクワッティングとかマイナーなフォーク版とかばっかり

いま一生懸命対策してるからそのうち、ある程度安心して使えるようになるよ
なんせこの膨大な資産をすべてなくすわけにはいかんだろ

flatpakだって誰でもパッケージ投稿できるんだから絶対安全というわけでもないよなぁ
むしろ中身の確認がPKGBUILDよりも面倒な分だけマルウェア見つける難しいまである

Flathubのはオープンソースで開発元の認証済みのメジャーなアプリだけ利用するようにしてるわ
オンラインで使う必要がないものはネット接続禁止、アクセスできるディレクトリも最低限に絞って

これってPKGBUILD内のURLが変わってる感じ？
それならインストール前に確実に気づきそうなもんだが…

githubも安全ではないってわけだな

>>862
URLの細かい変更よりももっとわかりやすく変えてる感じだよ
https://aur.archlinux.org/cgit/aur.git/commit/?h=linux-rc&id=0e8e18c48152454f18d29fc263d3cc9f3cb4b408
https://aur.archlinux.org/cgit/aur.git/commit/?h=gulden-appimage&id=8188e5841b9d50384b7dde9136d80fbd1415c818
サプライチェーン攻撃としてはかなり程度が低いというかパッケージの中身とまるで関係ない変更加えてんだから普通なら気づく
それに問題のnpmのパッケージもnpmの運営側で削除されてるから今同じコード動かしても機能しない

/var/log/pacman.log

[2024-09-20T12:01:28+0900] [PACMAN] Running 'pacman -D --asdeps -q --config /etc/pacman.conf -- spamassassin texlive-formatsextra dillo
libical gumbo-parser libytnef libgdata poppler-glib docbook-utils valgrind'

[2024-09-20T12:05:49+0900] [ALPM] installed libgdata (0.18.1-3)
[2024-09-20T12:10:53+0900] [ALPM] removed libgdata (0.18.1-3)

何かの依存関係でインストールされたら気づかないよ。俺は

AUR経由させずにコンソールでビルドするの難しくね？

AURって何使ってる？
mozc-utとかvscodeぐらいかね。
noctalia-qsとかかな。

>>867
今はanthy-unicodeと実験的にkarukan入れてる
本家anthyは開発止まって、OSDN終了でサイトすら消滅しちゃってるからね…

あとはDEとかの大幅な仕様変更で不具合が出たアプリを一時的に開発版に差し替える程度でしか使ってないな
今回みたいなことが起きると思ってたから、使ってるのがAUR落ちしたら速やかにFlatpakや代替に切り替えるようにしてるわ

>>867
自分もmozc-ut関連ぐらいとフォントを少々ぐらいかな
あとは自分でPKGBUILD書いて管理してるわ

GNOMEの拡張機能なんてヤバそう…

GNOME の拡張機能には
公式なものと非公式なものが混在してる
非公式なものはまさに野良ビルドだよ

AURのgitcloneもやばいの？

lib32-gst-plugins-badとかみたいに、依存で他のAURを引っ張ってくるようなのだと全部は見きれない
goとかでgithubのコードをガンガン参照するのも全く追えない

>>870
Firefoxのアドオンなんかもだけど多少の審査はあるみたいだけどザルだし
悪意は無くてもバグが不具合を惹き起こしたり、仕様変更で機能しなくなったりするから
これもなるべく実績があって開発が滞ってないものを厳選して利用するのがいいね

>>873
依存するAURパッケージが多くて追いきれないようなのは俺は避けるかな
実際、Wineが64bit版に移行してWinetricksが機能しなくなったからFlatpakのBottlesに乗り換えたよ

pacman -Qm で見て意図しない変なの入ってなければ大丈夫？

大丈夫？ もクソもなくAURは自己責任でどうぞ

自分が意図してインストールしたパッケージでも攻撃者に乗っ取られてビルドスクリプトが改変されて情報抜き取ろうとしてくるので、AURのPKGBUILDは全て自力で確認する必要がある

ネット上だとcurl | bashでインストールしろみたいな謳ってるとこもあるからな…
AURに限らず自分のPCは自分で管理できる範囲にしとくべきだね

結局孤児パッケージだからそんな被害ないよな、勿論ゼロではないだろうし油断はせんほうがいいけど
CachyOS台頭して初心者も増えたからAURを使うのはこういうリスクはあるよって大した被害なく知られたのは良いことやね

この手のコミュニティには全部のAURを更新日で絞り込んでAI検査している奇特な人ぐらいいるんじゃね
知らんけど

その辺の検査はAURの全パッケージを自動ビルドしてるChaotic-AURあたりがやってるんじゃないか

>>881
あれ全パッケージなの？

結局aurの仕組み自体変えないとまた起きるっしょ

ローリングリリースで割と最新鋭でパッケージ豊富って事で
aurが安全になるまでtumbleweedに一時的に逃げようと思ってる
でもsuse系は堅牢だけど癖強いのがなー
ちょっと使ってみてるけど慣れないわ

ちなみにtumbleweedはバックに商用suseが付いてるから
比較的新しいけどちゃんとテスト済らしい

Fedoraじゃ駄目なん？

Fedora 的には Arch あった方がない場合に比べてバグ対応が劇的に楽になると思われ
個人の想像です

fedoraはarch以上にカオスでしょ
epel copr rpmfusion等々
redhat含めると歴史が古いだけあって非公式リポジトリ、野良リポジトリだらけで
archの次に狙われそう

もちろんsuseにもコミュニティリポジトリあるけどfedoraほどカオスじゃないし
コミュニティリポジトリ追加しなくてもtumbleweedのリポジトリだけでかなり豊富な雰囲気あるよ

そういやfedoraにはrawhideとかもあったな
個人的にはfedoraは痛い目見た記憶しかないから
魂が拒否してる

まあsuseもyast見てなんじゃこりゃって毎回なるんだけどなw
solarisでunixを学んだ人がaix触って驚愕する感じに似てる

じゃあdebianにでもいくか

公式リポジトリに入っているものだけで満足するならどのディストリでもいいというか
AURは危険だけどSuSEやFedora、Debianなら安全とかいって中身確認せずにコミュニティリポジトリ追加してるのはアホすぎる…

あと当然だけどFlatpakやSnapにも危険なパッケージは存在してサンドボックス化だって完全ではないからな？これらはバイナリだからPKBGUILDみたいに目で確認できないからより慎重にパッケージ選ばないと
https://blog.popey.com/2026/01/malware-purveyors-taking-over-published-snap-email-domains/
https://www.linuxjournal.com/content/when-flatpaks-sandbox-cracks-real-life-security-issues-beyond-ideal

pacmanは平気・・だよね？

win11にもどることにした

アレが危ないコレが危ないという前に実害がどう出たのか調べたほうが良い
個人情報が収集されるのはWindowsでもGoogleでもそうなんだからLinuxベンダーが収集していないわけがないだろう
アカウントのパスワードが盗まれるってそんなものとっくにみんなバレてるよ
AIを使って総当たりで回せばいいだけだろうに

>>890
archの場合はそれaurなの？ってのまでaurにあるイメージ
公式のリポジトリが変に偏ってる時あんのよね
なのでaurが必須って感じするけど
今のfedoraはしらんけどtumbleweedは公式リポジトリで一通り揃って過不足無い感じ

やっぱ商用がバックにあると変な偏りないよ
ただマイナーなアプリを発見する楽しさみたいなのはarchには敵わんね

いずれにしてもこの騒動落ち着くまでの避難先って話だよ
archに慣れちゃってるし結局戻ると思う
ただ普段の仕事から何からLinux使ってるから間違いがあると困るのさ

ライセンスの関係でバイナリ配布できないmozc-utが簡単らくらくにビルドできるのはArchとGentooだけなのでArchから離れる選択肢はないかな
そもそもAURはBKGBUILDをちゃんと読んだら安全かどうかすぐに分かるし、AURを使ってるような人は他のディストリでもパッケージ不足で結局野良リポジトリを入れることになる
PKGBUILDよりも分かりにくい分、その方がよっぽど危険では？