漏洞赏金平台 Open Bounty 将用户提交的漏洞报告发布在公共区块链上后，遭安全研究人员批评

漏洞赏金平台 Open Bounty 将用户提交的漏洞报告发布在公共区块链上后，遭安全研究人员批评 DL News 引援 TimCraig 发布的消息，漏洞赏金平台 Open Bounty 在被发现用户提交的漏洞报告发布在公共区块链上后，遭到了其他安全研究人员的猛烈批评。 首先发现该问题的独立安全研究员 Pascal Caversaccio 表示，公开泄露潜在漏洞是极其不负责任的行为，任何黑客都可以筛选报告并加以利用。

【因涉嫌提交ChatGPT生成的漏洞报告，智能合约漏洞赏金平台Immunefi封禁15名用户】

【因涉嫌提交ChatGPT生成的漏洞报告，智能合约漏洞赏金平台Immunefi封禁15名用户】 1月18日消息，智能合约漏洞赏金平台 Immunefi 对 15 名用户实施封禁，这些用户涉嫌向平台提交由人工智能工具 ChatGPT 生成的漏洞报告。 Immunefi 在社交媒体发文称，白帽黑客应该使用自己的语言而不是人工智能语言工具来描述问题，也不能通过这种手段加快软件 Bug 的处理解决速度。

研究人员披露：苹果对iOS15安全漏洞置若罔闻

研究人员披露：苹果对iOS15安全漏洞置若罔闻 一位安全研究人员在今年 3月10日到5月4日期间向苹果报告了四个 0-day 漏洞，而在接近9月底，其中三个漏洞仍然存在于iOS 15版本 (15.0) 中。 他只得将这3个漏洞公开，目前 iOS15.0 中仍然存在这些漏洞。

迅雷被安全研究人员爆锤 懈怠回应导致大量漏洞被研究人员公开

迅雷被安全研究人员爆锤 懈怠回应导致大量漏洞被研究人员公开 日前安全研究人员 Wladimir Palant 在自己的网站上手撕迅雷，指责迅雷客户端存在大量漏洞的同时，迅雷对修复工作不积极或者说不愿意与研究人员沟通，最终结果是研究人员在期满 (90 天) 后公布了这些漏洞。从研究人员公布的研究来看，迅雷客户端其实就是一个筛子，上面遍布漏洞，因为迅雷为了尽可能留住用户提供了大量功能，这些功能都是拼凑的。由于漏洞以及相关细节比较多，这里我们简单梳理下，想要了解所有漏洞及完整细节可以在研究人员的博客中查看。下面是漏洞时间线：2023 年 12 月 6 日～12 月 7 日：研究人员通过迅雷安全响应中心提交了 5 个漏洞报告，实际上报告的漏洞数量更多，在报告中研究人员明确提到最终披露时间是 2024 年 3 月 6 日。2023 年 12 月 8 日：研究人员收到回信，迅雷安全响应中心称已经收到报告，一旦复现漏洞将与研究人员联系 (这应该是自动回复的通知模板)。2024 年 2 月 10 日：研究人员向迅雷提醒称距离漏洞公布只有 1 个月时间了，因为有些厂商会忘记截止日期，这个并不少见，于是研究人员发了提醒。2024 年 02 月 17 日：迅雷安全响应中心称对漏洞进行了验证，但漏洞尚未完全修复，也就是确认了漏洞存在，但由于 shi 山代码太多，一时三刻没法修复，为什么说是 shi 山代码看后面的说明。附研究人员关于迅雷安全响应中心的吐槽：限制仅通过 QQ 或微信登录，这对于国外研究人员来说很难，幸好在底部还留了个邮箱。安全问题一：使用 2020 年 4 月的 Chromium迅雷客户端为了尽可能留住用户并塞广告，直接集成了一个浏览器，这个使用迅雷的用户应该都知道，还集成了诸如播放器等功能。然而迅雷当然不会自己开发浏览器，迅雷集成了 Chromium 浏览器，这没问题，但集成的版本还是 2020 年 5 月发布的 83.0.4103.106 版。这个老旧版本存在数不清的漏洞，漏洞多到令人发指，毕竟已经四年了，有大量漏洞是很正常的，而且有一些高危漏洞，而迅雷至今没有更新。这也是前文提到的 shi 山代码太多的原因之一，对迅雷来说或许升级个 Chromium 版本都是很难的事情，因为要处理一大堆依赖。安全问题二：迅雷还集成 2018 年的 Flash Player 插件所有浏览器都在 2020 年 12 月禁用了 Adobe Flash Player 插件，这个播放器插件也存在巨量漏洞，但迅雷直接忽略了。迅雷内置的 Chromium 浏览器还附带了 Flash Player版，这个版本是 2018 年 4 月发布的，迅雷甚至都没更新到 Adobe 发布的最后一个安全更新。安全问题三：拦截恶意地址简直是搞笑迅雷也用实际行动告诉我们什么是草台班子，迅雷内置的浏览器有拦截恶意地址的功能，包括非法网站和恶意网站等。但迅雷还特别做了一个白名单机制，即域名中的白名单在内置浏览器中的访问是不受限制的，白名单域名就包括迅雷自己的 xunlei.com在初始版本中，研究人员提到任意域名结尾追加？xunlei.com 那就能通过验证，比如 https:// ... 是个大聪明。在后续版本中研究人员删除了上面的说法，但保留了另一个问题，那就是 https:// ./ 可以访问，因为迅雷无法处理 com.安全问题四：基于老旧的 Electron 框架开发迅雷主要就是基于 Electron 框架开发的，但迅雷使用的版本是 830.4103.122 版，发布于 2020 年 4 月份，和上面提到 Chromium 老旧版本情况类似，也都是筛子，这也是 shi 山代码之二，迅雷肯定因为某种原因好几年了都不敢动这些框架版本。上面只是其中几个典型的安全问题，研究人员在博客中还罗列了关于插件、API、过时的 SDK 等大量问题，内容比较多这里不再转述。迅雷修复了吗？迅雷并没有直接忽视研究人员的报告，事实上研究人员发现自己的实例代码页面被访问，说明迅雷的工程师也确实在处理。同时研究人员在 2 月份的迅雷新版本中还注意到迅雷删除了 Adobe Flash Player 集成，但如果用户主动安装了，那还是会被激活。所以可以断定迅雷并没有直接忽视漏洞，只不过由于 shi 山代码太多，一时三刻解决不了，而迅雷最大的问题就是没有及时与研究人员沟通，整整三个月迅雷除了一个自动回复外，就在 2 月份回了表示还在修复的邮件，既没有提到是否需要延长漏洞公开时间、也没有与研究人员沟通细节。于是到 3 月 6 日研究人员直接公布了所有漏洞，迅雷好歹也有千万级的用户，无论是迟迟不更新框架版本还是懈怠处理漏洞，都会给用户造成严重的安全问题。目前迅雷并未彻底解决研究人员提到的所有问题 (应该只修复了一小部分？)，建议使用迅雷的用户注意安全，如果不经常使用的话，可以考虑直接卸载掉。 ... PC版： 手机版：

中方批日本智库涉华报告：有关言论不负责任也站不住脚

中方批日本智库涉华报告：有关言论不负责任也站不住脚 针对日本智库报告指中国增强包括核力量在内的军备，并与俄罗斯深化战略协作等，中国外交部回应称，有关言论不负责任，也是站不住脚的。 中国外交部发言人汪文斌星期四（12月7日）在例行记者会上就此事答记者问时说，中国坚持走和平发展道路，奉行防御性国防政策，中国的发展是世界和平力量的增长。“台湾是中国的一部分，台湾问题是中国内政，如何解决台湾问题，是中国人自己的事，不容任何外部干涉。” 汪文斌强调，日本有关智库的报告对中国内政、军队现代化建设以及中国同他国关系妄加评论，有关言论不负责任，也是站不住脚的。 他指出，由于历史原因，日本的军事安全动向一直备受亚洲邻国和国际社会关注。近年来，日本大幅增加军费支出，谋求发展进攻性武器，引发周边国家和国际社会的强烈担忧。 汪文斌说，“我们敦促日方切实尊重周边邻国的安全关切，深刻反省侵略历史，停止靠渲染‘中国威胁’为自身强军扩武寻找借口，以实际行动取信于亚洲邻国和国际社会。” 据日本共同社报道，日本防卫省的智库“防卫研究所”11月24日发布了分析中国军事动向的《中国安全战略报告2024》，并指中国增强包括核力量在内的军备，同时与俄罗斯深化战略协作。 报告预测，约10年以后，中俄与美国围绕国际秩序的对立将加剧。报告也认为，为阻止中国在台海地区以实力改变现状，日本有必要加强防卫力。 2023年12月7日 5:27 PM

金正恩批评朝鲜官员抗击洪水“不负责任”

金正恩批评朝鲜官员抗击洪水“不负责任” 朝鲜领导人金正恩到平安南道视察救灾重建现场，批评内阁对洪水“不负责任”的处理方式导致朝鲜近期的暴风雨灾害。 法新社引述朝鲜官方媒体报道，金正恩站在南浦市一片被淹至及膝的稻田中，“严厉指责”高级官员“非常不负责任地玩忽职守”。 朝中社报道，金正恩说，最近的损失“不是由自然灾害引起的灾难，而是由于‘懒汉’们的不负责任造成的人祸”。他特别点名总理金德训未能阻止这一损失。 金正恩也下令纪检部门“查明责任机构和相关人员，并严厉惩罚他们”。 本月早些时候，台风“卡努”登陆朝鲜。据官方媒体报道，一段受损的堤坝和不完善的排水系统导致海水淹没了超过560公顷的土地，包括关键的稻田。 韩国情报机构近日披露，朝鲜正面临大规模饥荒，许多人被活活饿死。为挽救国家的粮食命脉，金正恩上周五（8月18日）前往江原道的稻田视察灾情。 曾经的脱北者、现朝鲜问题国际研究所研究员安灿日认为，因为朝鲜的粮食短缺情况恶化，所以“需要找个替罪羊来平息挨饿的人民的愤怒。”他告诉法新社，金德训可能很快会被免职，甚至会受到惩罚。