[漏洞/一般] ACME 客户端证书获取过程中存在可执行任意代码/命令注入漏洞，且中国证书颁发机构 HiCA 在运行过程中滥用了

[漏洞/一般] ACME 客户端证书获取过程中存在可执行任意代码/命令注入漏洞，且中国证书颁发机构 HiCA 在运行过程中滥用了这个漏洞 处理 ACME 数据时，如果服务器返回的响应不是预期的 JSON 格式，而是其他任意内容，那么会将这些内容原样输出。在这种情况下，HiCA 利用这个特性，通过 Unicode 生成一个二维码，然后注入到 ACME 数据中。然后输出了一个二维码 据 Matt Holt 表示这是他知道的首次对 ACME 生态系统的公然滥用，同时担忧未来可能还会出现更多相同行为。他建议避免使用需要特定 ACME 客户端或有其他不寻常的限制/要求的证书颁发机构，并始终保持你的客户端最新 威胁：一般 ，但漏洞可远程执行 .sh 脚本，且需要使用者注意[实际的远程代码执行（RCE）威胁相对较低，因为用户需要明确配置一个违反 ACME 规定的恶意证书颁发机构] 处置建议：用户在配置 CA 时应避免使用未经信任或未经审核的 CA，并尽量不要使用未经审核的第三方客户端 注意：本次漏洞通报中没有直接证明 HiCA 存在恶意行为，且需要注意的是存在被第三方劫持的安全漏洞 相关链接：

相关推荐

封面图片

微信Windows客户端存在"@所有人"功能逻辑漏洞

微信Windows客户端存在"@所有人"功能逻辑漏洞 近日，用户发现微信Windows客户端中存在一个逻辑漏洞，涉及到群聊中的“@所有人”功能。该漏洞允许普通群成员在没有管理员权限的情况下，通过一定的操作艾特群内所有人。 漏洞复现步骤如下： 1. 用户首先需要在一个拥有“@所有人”权限的群聊中。 2. 在输入框中输入“@所有人”，然后将这条待发送的消息剪切。 3. 接着，用户前往目标群聊，随意引用一条消息。 4. 最后，将之前剪切的“@所有人”的消息粘贴到输入框中并发送。 通过这种方法，普通群成员即使没有管理员权限，也可以在群聊中艾特所有人。目前这个漏洞仅在微信的Windows客户端上被复现，尚不清楚其他平台（如iOS或Android）是否存在同样的问题。
封面图片

QQ Windows 被曝光远程代码执行漏洞

QQ Windows 被曝光远程代码执行漏洞 2023 年 8 月 20 日，赛博昆仑发布报告， QQ Windows 桌面客户端有远程执行的漏洞。 该漏洞为逻辑漏洞，攻击者可以利用该漏洞在 QQ 客户端上进行无需用户确认的文件下载执行行为，当用户点击消息链接时，QQ 客户端会自动下载并打开文件， 最终实现远程代码执行的目的。 影响范围：QQ Windows 版 9.7.13 及以前版本，建议谨慎点击任何消息链接，并使用安全软件扫描下载文件是否异常。
封面图片

Solana验证器客户端Firedancer将于7月10日启动100万美元的漏洞赏金计划

Solana验证器客户端Firedancer将于7月10日启动100万美元的漏洞赏金计划 PANews 7月8日消息，据The Block报道，由 Jump Crypto 构建的独立 Solana 验证器客户端 Firedancer 将于7月10日启动100万美元的漏洞赏金计划，为期六周。该计划旨在提升Solana网络的安全性，鼓励开发者发现并报告系统中的安全漏洞，从而确保网络的稳定与安全。 此前报道，Solana拟于2025年发布Firedancer升级的完整版本，此前将推出“精简版”。Solana联创表示：客户端Firedancer将是解决Solana网络中断的长期解决方案。
封面图片

【以太坊基金会披露Bug Bounty Programs的第一组已发现漏洞】

【以太坊基金会披露Bug Bounty Programs的第一组已发现漏洞】 3月10日消息，以太坊基金会披露漏洞奖励计划Bug Bounty Programs的第一组漏洞。这些漏洞被发现后，已通过执行层和共识层客户端的Bug Bounty程序直接报告给以太坊基金会或客户端团队。 注，漏洞奖励计划Bug Bounty Programs允许以太坊基金会跨客户端协调和交叉检查漏洞，目前接受Nimbus、Teku、Lighthouse、Prysm、Lodestar、Go Ethereum、Nethermind、Erigon和Besu的漏洞报告。
封面图片

Paradigm发布以太坊执行客户端Reth 1.0版本

Paradigm发布以太坊执行客户端Reth 1.0版本 PANews 6月27日消息，加密投资公司Paradigm发布了以太坊执行客户端Reth 1.0版本，这是首个用Rust编写并准备生产使用的以太坊执行客户端。Reth 1.0专注于提供稳定的以太坊主网节点，改进了同步时间、存储和RPC吞吐量。Reth可以在50小时内从创世区块完全同步一个存档节点，而其他客户端则需要数日时间。 Reth的开发灵感来源于Geth、Erigon和Akula等客户端。经过Sigma Prime的成功审核，Reth 1.0被认为足够稳定，可以推荐用于生产环境，包括以太坊主网质押。Reth提升了区块封装流程，减少了内存泄漏，并优化了资源利用，使其在各种操作设置中都能高效运行
封面图片

，一款开源的GitHub客户端，可用于接收、组织管理 GitHub 通知，包括issue追踪、PR提交、漏洞修复等，支持Wind

，一款开源的GitHub客户端，可用于接收、组织管理 GitHub 通知，包括issue追踪、PR提交、漏洞修复等，支持Windows10/11系统。 此外，该客户端还支持主题定制，分类筛选查询，基于编程语言进行通知过滤等功能

🔍 发送关键词来寻找群组、频道或视频。

启动SOSO机器人