博通敦促 VMware 客户修补“紧急”零日漏洞
美国科技巨头博通警告称，恶意黑客正在积极利用三个 VMware 漏洞来入侵其企业客户的网络。这三个漏洞影响旗下 VMware ESXi 和 Workstation 以及 Fusion 产品。博通公司表示，这些漏洞可能允许具有虚拟机管理员或Root权限的攻击者逃离受保护的沙盒，并获得对底层虚拟机管理程序产品的更广泛的未经授权的访问。博通公司表示，有“信息表明”这些漏洞已在野外被利用。博通公司已针对这三个漏洞发布了补丁，由于这些漏洞在修复程序发布之前就已被利用，因此被归类为零日漏洞。博通公司将其安全公告描述为“紧急”变更，并敦促客户尽快应用补丁。
—— Techcrunch
微信开发人员在修改 TLS 时引入了安全漏洞
研究人员称，消息应用巨头微信使用了自定义修改版的 TLS 网络协议，因此引入了安全漏洞。微信使用 MMTLS，这是一种基于 TLS 1.3 的加密协议。开发人员基本上对标准 TLS 进行了调整，但应用程序的加密实现方式“与十亿用户使用的应用程序所期望的加密级别不一致，例如它使用确定性 IV 和缺乏前向保密性。”但更彻底的分析显示，它提供了两层加密，明文内容被包裹在“业务层加密”中，而得到的密文则被包裹在 MMTLS 加密中，密文将通过微信网络发送。这有效缓解了对 MMTLS 缺陷的可能的攻击，但这些缺陷在标准版 TLS 中并不存在。
研究人员表示，只有在中国，开发人员才会逆潮流而行，自行开发加密系统，而且一般来说，这些系统都不如标准 TLS 1.3 或 QUIC 实现有效。
—— The Register
黑客利用高通芯片零日漏洞攻击安卓用户
周一，芯片制造商高通证实，黑客利用了一个新发现的芯片零日漏洞。高通援引谷歌威胁分析小组未指明的“迹象”，称正式编号为 CVE-2024-43047 的零日漏洞，“可能受到有限的、有针对性的利用”。美国网络安全机构 CISA 已将高通漏洞列入已知或已被利用的漏洞列表。高通在其公告中列出了受此漏洞影响的 64 种芯片组，其中包括该公司的旗舰产品骁龙 8 Gen 1 移动平台。
高通表示受影响 FASTRPC 驱动程序的问题的补丁已在9月提供给 OEM 设备制造商，并强烈建议尽快在受影响的设备上部署更新。目前，谷歌仅表示，“有限的、有针对性的利用”，表明黑客活动很可能针对特定个人，而不是大量目标。但不清楚哪些人成为目标，也不清楚为什么。
—— TechCrunch
几乎所有 Linux 发行版都存在严重的远程代码执行漏洞 漏洞评分达到9.9/10分
几乎所有 Linux 发行版都存在严重的远程代码执行漏洞，漏洞评分高达 9.9/10 分。目前只知道该漏洞可以被用来无需身份验证远程执行代码，具体 CVE 编号尚未分配，并且两周后漏洞被披露时是否有可用的安全补丁都是个问题。其中 Ubuntu 发行商 Canonical 和 RHEL 发行商 RedHat 等已经确认这些漏洞的严重性，如果这些漏洞遭到利用可能会给整个业界造成灾难。该漏洞主要存在于 Unix 打印系统 CUPS 中，如果用户正运行 CUPS，并启用了 cups-browsed，那么就存在被攻击风险，导致用户设备被远程劫持。
—— IT之家、蓝点网
OpenSSH 服务端中发现远程未经身份验证代码执行漏洞
7月1日消息，Qualys 的威胁研究部门在基于 glibc 的 Linux 系统中发现了 OpenSSH 服务端 (sshd) 中存在一个远程未经身份验证的代码执行 (RCE) 漏洞。该漏洞影响 8.5p1 到 9.7p1 之间的版本。分配给此漏洞的编号为 CVE-2024-6387，评分 8.1，严重性为高。通过使用 Censys 和 Shodan 进行搜索发现，超过 1400 万个可能存在漏洞的 OpenSSH 服务器实例暴露在互联网上。
该漏洞是 OpenSSH 服务端 (sshd) 中的一个信号处理程序竞争条件，允许在基于 glibc 的 Linux 系统上以 root 身份进行未经身份验证的远程代码执行 (RCE)；这会带来重大的安全风险。此竞争条件会影响默认配置下的 sshd。
—— Qualys
迅雷因懈怠回应导致大量漏洞被研究人员公开
日前安全研究人员 Wladimir Palant 在自己的网站上指责迅雷客户端存在大量漏洞，同时迅雷对修复工作不积极或者不愿意与研究人员沟通，最终结果是研究人员在行业惯例宽限期满 (90 天) 后公布了这些漏洞。研究人员公布的研究中，迅雷客户端遍布漏洞，因为迅雷为了尽可能留住用户提供了大量功能和广告，这些功能都是拼凑的，例如完整但版本老旧的Chromium浏览器和Flash播放器。
—— 蓝点网，Palant 的博客
蓝牙身份验证漏洞可让黑客控制 Apple、Android 和 Linux 设备
无人机技术公司 SkySafe 的软件工程师表示，存在多年的蓝牙身份验证绕过漏洞允许不法分子连接到 Apple、Android 和 Linux 设备并注入击键来运行任意命令。
马克·纽林 (Marc Newlin) 发现了该漏洞并将其报告给了公司，他表示，该漏洞编号为 CVE-2023-45866，不需要任何特殊硬件即可利用，并且可以使用常规蓝牙适配器从 Linux 机器上对 Apple、Google、Canonical 和蓝牙 SIG 发起攻击。
该攻击允许附近的入侵者在受害者的设备上注入击键并执行恶意操作，只要他们不需要密码或生物识别身份验证。
在周三发布的 GitHub 帖子中，bug 猎人这样描述了该安全漏洞：“这些漏洞的工作原理是欺骗蓝牙主机状态机在未经用户确认的情况下与假键盘配对。蓝牙规范中定义了底层的未经身份验证的配对机制，并且特定于实现的错误将其暴露给攻击者。”
—— The Register
Curl 正式发布新版本 8.4.0 ，修复 SOCKS5 堆溢出漏洞，请尽快更新。
Curl 项目的维护者在一周前就发布了漏洞提醒，表示将在 8.4.0 版本中修复这个严重的漏洞。据维护人员称，这可能是他们长期以来见过的最严重的 curl 安全问题，同时影响到 libcurl 库和 curl 工具。
根据 Curl 作者 Daniel Stenberg 在其个人博客中的介绍，这个高危漏洞是 SOCKS5 堆溢出漏洞(heap buffer overflow)，该漏洞(CVE-2023-38545)会导致 curl 在 SOCKS5 代理握手过程中溢出基于堆的缓冲区。
目前 8.4.0 版本已正式发布，建议用户和开发者立即更新。
漏洞详情：Daniel Stenberg 博客
Notepad++ 多个漏洞让攻击者能执行任意代码
流行的开源代码编辑器 Notepad++ 发现了多个缓冲溢出漏洞，允许攻击者执行任意代码。Notepad++ 尚未发布补丁修复漏洞。
GitHub Security Lab 的安全研究员 Jaroslav Lobačevski 发现，Notepad++ 使用的部分函数和库存在堆缓冲区写溢出和堆缓冲区读取溢出漏洞，这些漏洞的风险评分从 5.5（中危）到 7.8（高危）不等。
他是在四月底报告了漏洞，但直到 Notepad++ 发布最新版本 v8.5.6 漏洞仍然没有修复，因此根据披露政策公开了漏洞和 PoC。
—— solidot