今天abc看了啥🤔

  1. 今天有人提到 Lasse Collin 对于 xz 项目早就疲惫不堪,Jia Tan 是极少数愿意真正贡献代码的“开发者”,这都是这场悲剧不可或缺的背景条件

    今天有人提到 Lasse Collin 对于 xz 项目早就疲惫不堪,Jia Tan 是极少数愿意真正贡献代码的“开发者”,这都是这场悲剧不可或缺的背景条件。

    在无人关心的角落,Florian Westphal 最近辞去了内核 netfilter co-maintainer,所以现在 nf 只剩 Pablo Neira Ayuso 一人维护。这可是无数人每天使用的 netfilter。

    在无人关心的角落,我最爱的工具之一 strace 依然只由一个捷克人 Dmitry V. Levin 默默维护。

    在无人关心的角落,tcpdump/libpcap 在由 the-tcpdump-group 持续更新,其中一位 Denis Ovsienko 的自我介绍是 sometimes I work jobs for living, sometimes I contribute pro bono to free and open source software projects, often I do both,给人一种很孤独的感觉。

    在无人关心的角落,bash group 只有三位 active members,其中一位 Bob Proulx 有个古典博客,里面有记录他和妻子的平静生活。

    我以前赞美人月神话,但我现在更关心默默无闻的开发者们,就像 vim 作者 Bram Moolenaar 一生没有和任何人建立亲密关系,我只想问,你这一生过得开心吗?

    你们这些伟大的开发者们过得开心吗?

  2. https://cloud.tencent.com/developer/article/2396572
    轻盈简约,指为了流光效果掏GPU渲染管线

  3. 省流:Even more damning, on 6 Oct 2022, we see the following: one commit at 21:53:09 +0300 followed by another at 17:00:38 +0800. This is only a difference in a matter of minutes!

    Hacker News
    XZ Backdoor: Times, damned times, and scams (🔥 Score: 152+ in 1 hour) Link: https://readhacker.news/s/659NG Comments: https://readhacker.news/c/659NG
    省流:
    Even more damning, on 6 Oct 2022, we see the following: one commit at 21:53:09 +0300 followed by another at 17:00:38 +0800. This is only a difference in a matter of minutes!

  4. TLDR:刚读完了这两篇关于 xz-utils 包的供应链攻击说明,攻击者潜伏了三年,很精彩,只差一点点就可以往众多 Linux 发行版的 sshd 注入后门,可用于绕过密钥验证,后果不堪设想

    Forwarded from &'a ::rynco::UntitledChannel (Rynco Maekawa)
    TLDR:

    刚读完了这两篇关于 xz-utils 包的供应链攻击说明,攻击者潜伏了三年,很精彩,只差一点点就可以往众多 Linux 发行版的 sshd 注入后门,可用于绕过密钥验证,后果不堪设想。
    概括:
    1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号,之后积极参与 xz 项目的维护,并逐渐获取信任,获得了直接 commit 代码的权利。
    2. JiaT75 在最近几个月的一次 commit 中,悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据,然而在编译脚本中,在特定条件下会从这两个文件中读取内容对编译结果进行修改,致使编译结果和公开的源代码不一致。
    3. 目前初步的研究显示,注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数,致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。(具体细节还在分析中)
    4. 只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响,最直接的目标就是 sshd,使得攻击者可以构造特定请求,绕过密钥验证远程访问。
    5. 受影响的 xz-utils 包已经被并入 Debian testing 中进行测试,攻击者同时也在尝试并入 fedora 和 ubuntu。
    6. 幸运的是,注入的代码似乎存在某种 Bug,导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员注意到了,顺藤摸瓜发现了这个阴谋并报告给 oss-security,致使此事败漏。
    如果不是因为这个 Bug,那么这么后门有不低的概率被并入主流发行版的 stable 版本,恐怕会是一件前所未有的重大安全事件。

    另外从一些细节能看出来攻击者非常用心:
    1. 攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入,以期望减少在测试期间被发现的时间。
    2. xz-utils 项目的原维护者 Lasse Collin (Larhzu),有着定期进行 internet breaks 的习惯,而且最近正在进行,导致这些变动他并没有 review 的机会,即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。

    更多的细节还在被分析中,目前 GitHub 已经关停了整个 xz 项目。

    https://x.com/Blankwonder/status/1773921956615877110?s=20

  5. 每日消费电子观察
    xz-utils 在 github 上发布的 tarball 的 m4 中包含了恶意后门代码 https://www.openwall.com/lists/oss-security/2024/03/29/4 (英文) https://lists.debian.org/debian-security-announce/2024/msg00057.html (英文) ==== 忙着查资料的被子饼 ==== 目前的证据表明这个后门仅影响部分 Debian/Ubuntu/Fedora/openSUSE 的预发布版本,且均已发布回退更新…
    https://t.me/CE_Observe/32247

  6. xz-utils 在 github 上发布的 tarball 的 m4 中包含了恶意后门代码

    Forwarded from 每日消费电子观察 (septs)
    xz-utils 在 github 上发布的 tarball 的 m4 中包含了恶意后门代码

    https://www.openwall.com/lists/oss-security/2024/03/29/4 (英文)

    https://lists.debian.org/debian-security-announce/2024/msg00057.html (英文)

    ==== 忙着查资料的被子饼 ====
    目前的证据表明这个后门仅影响部分 Debian/Ubuntu/Fedora/openSUSE 的预发布版本,且均已发布回退更新

    目前确定曾受影响的发行版:
    Debian unstable/testing between 2024-02-26 and 2024-03-29
    Ubuntu noble-proposed between 2024-02-26 and 2024-03-29
    Fedora 40/41 between 2024-02-27 and 2024-03-29
    openSUSE Tumbleweed between 2024-03-07 and 2024-03-28

  7. 内地著名作家、电影《让子弹飞》原著作者马识途逝世,享高寿110岁

    Forwarded from LoopDNS资讯播报
    内地著名作家、电影《让子弹飞》原著作者马识途逝世,享高寿110岁。

    中新网报道,指于马识途家人处获悉,革命家、作家、书法家马识途因病医治无效,于3月28日晚19时25分去世,享年110岁。

    电影改编自四川作家马识途的长篇小说《夜谭十记》中的第三记《盗官记》一节,片长约2小时12分。 电影中以辛亥革命后的北洋时代初期为背景,并以鸿门宴和小凤仙作为戏中题材。

    来源:星岛日报

  8. update:使用国区主号与港区小号测试 证实可以组建家庭 暂未测试锁区游戏是否通用(怀疑大概率可以)好吧这消息有一半可信度了 我没台区号测试评论区有确认可以游玩锁区游戏

    Forwarded from 每日消费电子观察 (Dave Lin)
    update:使用国区主号与港区小号测试 证实可以组建家庭 暂未测试锁区游戏是否通用(怀疑大概率可以)
    好吧这消息有一半可信度了 我没台区号测试

    评论区有确认可以游玩锁区游戏
    https://keylol.com/t941326-1-1

  9. 与此同时,十天前隔壁的 #火星慢讯 :Gumroad 正式宣布封杀平台中的成人内容

    层叠 - The Cascading
    PayPal 称 Pixiv 违反其条款;Pixiv/Fanbox 收紧 PayPal 使用限制。 Pixiv 及 Fanbox 公布的支付方式支持修改包括: * 在 Pixiv 注册高级会员及约稿时将无法使用 PayPal 付款 [1]。 * 在 Fanbox 上,之前未有使用过 PayPal 的用户将无法使用 PayPal 支持 R-18 创作者 [2]。 1. pixiv.net/~ 2. official.fanbox.cc/~ #PayPal #Pixiv #Fanbox
    与此同时,十天前隔壁的 #火星慢讯 :
    Gumroad 正式宣布封杀平台中的成人内容。
    https://help.gumroad.com/article/156-gumroad-and-adult-content

  10. PayPal 称 Pixiv 违反其条款;Pixiv/Fanbox 收紧 PayPal 使用限制

    Forwarded from 层叠 - The Cascading
    PayPal 称 Pixiv 违反其条款;Pixiv/Fanbox 收紧 PayPal 使用限制。

    Pixiv 及 Fanbox 公布的支付方式支持修改包括:
    * 在 Pixiv 注册高级会员及约稿时将无法使用 PayPal 付款 [1]。
    * 在 Fanbox 上,之前未有使用过 PayPal 的用户将无法使用 PayPal 支持 R-18 创作者 [2]。

    1. pixiv.net/~
    2. official.fanbox.cc/~

    #PayPal #Pixiv #Fanbox 對於居住在日本以外地區的所有用戶,在註冊pixiv高級會員時,現均支援選擇信用卡付款

  11. cnBeta.COM中文业界资讯站 - 总频道(精选新闻)
    日本警方逮捕香港游客 涉嫌违法下载游戏厅音游曲目 这名香港游客今年21岁,被控在20日下午在大阪市内一家游戏厅直接连接音乐游戏的电脑端,下载了6首曲目。·实际上在去年11月时,该街机厅曾举报被人非法下载游戏厅音游曲目,本次则是同样有新曲发布时,警方秘密布置了监视,直接抓获嫌犯现行。·目前警方正在调查该名嫌犯下载音游曲目的目的。 ... PC版:https://www.cnbeta.com.tw/articles/soft/1424845.htm 手机版:https://m.cnbeta.com.tw…
    https://twitter.com/Yuuki_Channn/status/1771825941133545815

  12. 日本警方逮捕香港游客 涉嫌违法下载游戏厅音游曲目这名香港游客今年21岁,被控在20日下午在大阪市内一家游戏厅直接连接音乐游戏的电脑端,下载了6首曲目

    日本警方逮捕香港游客 涉嫌违法下载游戏厅音游曲目


    这名香港游客今年21岁,被控在20日下午在大阪市内一家游戏厅直接连接音乐游戏的电脑端,下载了6首曲目。·实际上在去年11月时,该街机厅曾举报被人非法下载游戏厅音游曲目,本次则是同样有新曲发布时,警方秘密布置了监视,直接抓获嫌犯现行。·目前警方正在调查该名嫌犯下载音游曲目的目的。 ...

    PC版:https://www.cnbeta.com.tw/articles/soft/1424845.htm
    手机版:https://m.cnbeta.com.tw/view/1424845.htm