Curl 将于10月11日修复一个严重程度为“HIGH”安全漏洞

Curl 将于10月11日修复一个严重程度为“HIGH”安全漏洞 10 月 11 日，curl 将推出新版本 8.4.0。该更新将修复一个严重程度为 HIGH 等级的安全漏洞。这不是什么普通的错误。 据维护人员称，这可能是他们长期以来见过的最严重的 curl 安全问题。 有关漏洞的具体信息在发布前仍处于保密状态，预计于 10 月 11 日 06:00 UTC 时间发布。 已知信息： CVE-2023-38545：严重性 HIGH（同时影响 libcurl 和 curl 工具） CVE-2023-38546：严重性 LOW（仅影响 libcurl，不影响工具） 详细信息：

Curl 正式发布新版本 8.4.0 ，修复 SOCKS5 堆溢出漏洞，请尽快更新。

Curl 正式发布新版本 8.4.0 ，修复 SOCKS5 堆溢出漏洞，请尽快更新。 Curl 项目的维护者在一周前就了漏洞提醒，表示将在 8.4.0 版本中修复这个严重的漏洞。据维护人员称，这可能是他们长期以来见过的最严重的 curl 安全问题，同时影响到 libcurl 库和 curl 工具。 根据 Curl 作者 Daniel Stenberg 在其个人博客中的介绍，这个高危漏洞是 SOCKS5 堆溢出漏洞(heap buffer overflow)，该漏洞(CVE-2023-38545)会导致 curl 在 SOCKS5 代理握手过程中溢出基于堆的缓冲区。 目前 8.4.0 版本已正式发布，建议用户和开发者立即更新。 漏洞详情：

curl 8.4.0 正式发布，修复 SOCKS5 堆溢出漏洞，建议升级

curl 8.4.0 正式发布，修复 SOCKS5 堆溢出漏洞，建议升级 curl 8.4.0 已正式，创始人 Daniel Stenberg（社区称号 bagder）已提前预告了该版本 修复高危安全漏洞，并称该漏洞可能是很长一段时间以来 curl 遇到的最严重漏洞，同时影响到 libcurl 库和 curl 工具。 根据介绍，这个高危漏洞是 SOCKS5 堆溢出漏洞 (heap buffer overflow)，该漏洞 (CVE-2023-38545) 导致 curl 在 SOCKS5 代理握手过程中溢出基于堆的缓冲区。 有开发者，该漏洞出现的场景是输入的域名太长，从而导致内存溢出。当然前提条件是使用了 SOCKS5 代理。 两种典型的攻击场景如下： 1、某些程序里内置 libcurl，而允许外部用户指定 socket5 代理以及输入超长的域名，则可以发起攻击 2、用户在使用 curl 或者 libcurl 时，使用了 socket5 代理，并且 http 请求到恶意服务器，并且恶意服务器返回了 http 30x 跳转，把用户访问目标指向一个超长域名从而导致溢出 详情查看： 来源：

拜登政府将监管比特币作为国家安全问题

拜登政府将监管比特币作为国家安全问题 据多个报道，白宫希望制定一套有凝聚力的政策来监管比特币和加密货币，因为目前立法和执法都分散在各个部门和机构。该命令将在国家安全工作的框架下进行，因为政府试图分析加密货币并采用一个有凝聚力的监管框架，该框架将涵盖比特币、加密货币、稳定币和 NFTs。 一位熟悉白宫计划的人士表示，这旨在从整体上审视数字资产，并制定一套政策，使政府在这一领域试图做的事情保持一致。 由于数字资产不会留在一个国家，因此有必要与其他国家同步合作。 据报道，监管工作将涉及国务院、财政部、国家经济委员会和经济顾问委员会，以及白宫国家安全委员会，因为根据《巴伦周刊》的报道，政府衡量加密货币 “对国家安全有经济影响 "。 此前金色财经报道，拜登政府最早将于 2 月发布关于加密的行政命令。 BitCoinMagazine

微软更新Edge浏览器 增加内置网速测试工具与安全修复

微软更新Edge浏览器 增加内置网速测试工具与安全修复 Edge 的内置速度测试工具现在位于默认"工具"侧边栏应用程序的顶部，该侧边栏还包括其他方便的实用工具，如世界时钟、计算器、翻译器、单位转换器等。不过，点击"开始"会打开一个新的Microsoft Bing 标签，其中包含速度测试工具，而不是在侧边栏中运行。设置侧边栏的初衷是让用户可以在不切换当前标签页的情况下使用应用程序和工具，因此出现这种情况有点奇怪。以下是 124.0.2478.80 版的更新日志：功能更新侧边栏工具应用程序 - SpeedTest。在Microsoft Edge 侧边栏的工具应用程序中默认添加 SpeedTest 答案。有关详细信息，请参阅管理Microsoft Edge 中的侧边栏。Microsoft 发布了最新的Microsoft Edge 稳定通道（版本 124.0.2478.80），其中包含 Chromium 项目的最新安全更新。在安全更新方面，124.0.2478.80 版本修补了两个严重的 Chromium 安全漏洞：CVE-2024-4331：在 124.0.6367.118 之前的 Google Chrome 浏览器中，Picture In Picture 中的空闲后使用允许远程攻击者通过制作的 HTML 页面利用堆破坏。(Chromium 安全严重性：高）。CVE-2024-4368：在 124.0.6367.118 之前的 Google Chrome 浏览器中，Dawn 中的 Free 后使用允许远程攻击者通过制作的 HTML 页面利用堆破坏。(Chromium 安全严重性：高）。Microsoft Edge 会在后台自动更新。不过，您可以访问 edge://settings/help 强制浏览器获取最新更新。另有消息称，微软最近宣布了Edge 浏览器的新内存消耗控制功能。它们现在可以在微软 Edge 125 Beta 中使用，该版本已于本周发布进行公开测试。这些控制功能允许你在玩游戏或执行其他任务时指定 Edge 可以使用多少内存。 ... PC版： 手机版：

OpenAI的GPT-4可通过阅读安全公告自主利用真实漏洞

OpenAI的GPT-4可通过阅读安全公告自主利用真实漏洞 为了说明这一点，研究人员收集了 15 个单日漏洞的数据集，其中包括在 CVE 描述中被归类为严重程度的漏洞。"当给出 CVE 描述时，GPT-4 能够利用其中 87% 的漏洞，而我们测试的其他模型（GPT-3.5、开源 LLM）和开源漏洞扫描器（ZAP 和 Metasploit）利用率为 0%"。所谓"单日漏洞"，是指已经披露但尚未修补的漏洞。该团队所说的 CVE 描述指的是 NIST 共享的 CVE 标记咨询例如，这个针对 CVE-2024-28859 的咨询。测试的失败模型包括 GPT-3.5、OpenHermes-2.5-Mistral-7B、Llama-2 Chat (70B)、LLaMA-2 Chat (13B)、LLaMA-2 Chat (7B)、Mixtral-8x7B Instruct、Mistral (7B) Instruct v0.2、Nous Hermes-2 Yi 34B 和 OpenChat 3.5。2 、Nous Hermes-2 Yi 34B 和 OpenChat 3.5，但不包括 GPT-4 的两个主要商业竞争对手：Anthropic 的 Claude 3 和 Google 的 Gemini 1.5 Pro。尽管 UIUC 的工程师们希望能在某个时候对它们进行测试，但他们无法获得这些模型。研究人员的工作基于之前的发现，即 LLM 可用于在沙盒环境中自动攻击网站。UIUC 助理教授丹尼尔-康（Daniel Kang）在一封电子邮件中说，GPT-4"实际上可以自主执行某些步骤，以实施开源漏洞扫描程序（在撰写本文时）无法发现的某些漏洞利用"。Kang 说，他希望通过将聊天机器人模型与在 LangChain 中实施的ReAct自动化框架相连接而创建的 LLM 代理（在本例中）能让每个人都更容易地利用漏洞。据悉，这些代理可以通过 CVE 描述中的链接获取更多信息。此外，如果推断 GPT-5 和未来机型的功能，它们很可能比现在的脚本小子们能获得的功能要强得多。拒绝 LLM 代理（GPT-4）访问相关的 CVE 描述使其成功率从 87% 降至仅 7%。不过，Kang 表示，他并不认为限制安全信息的公开是抵御 LLM 代理的可行方法。他解释说："我个人认为，'隐蔽安全'是站不住脚的，这似乎是安全研究人员的普遍看法。我希望我的工作和其他工作能够鼓励人们采取积极主动的安全措施，比如在安全补丁发布时定期更新软件包。"LLM 代理仅未能利用 15 个样本中的两个：Iris XSS（CVE-2024-25640）和 Hertzbeat RCE（CVE-2023-51653）。论文称，前者之所以存在问题，是因为 Iris 网络应用的界面对于代理来说非常难以浏览。而后者的特点是有详细的中文说明，这大概会让在英文提示下运行的 LLM 代理感到困惑。在测试的漏洞中，有 11 个是在 GPT-4 的训练截止日期之后出现的，这意味着模型在训练过程中没有学习到有关这些漏洞的任何数据。这些 CVE 的成功率略低，为 82%，即 11 个中有 9 个。至于这些漏洞的性质，在上述论文中都有列出，并告诉我们："我们的漏洞涉及网站漏洞、容器漏洞和易受攻击的 Python 软件包，根据 CVE 描述，超过一半的漏洞被归类为'高度'或'严重'严重性。"Kang 和他的同事计算了成功进行一次 LLM 代理攻击的成本，得出的数字是每次利用漏洞的成本为 8.8 美元，他们说这比雇用一名人工渗透测试人员 30 分钟的成本低 2.8 倍。根据 Kang 的说法，代理代码只有 91 行代码和 1056 个提示令牌。GPT-4的制造商OpenAI要求研究人员不要向公众公布他们的提示信息，不过他们表示会应要求提供。OpenAI 没有立即回应置评请求。 ... PC版： 手机版：