微软发布补丁，修复 Win10、Win11 关键漏洞：可安装恶意软件

微软发布补丁，修复 Win10、Win11 关键漏洞：可安装恶意软件 （英文） 该漏洞存在于 ms-appinstaller 统一资源标识符（URI）方案中，攻击者利用该漏洞，可以绕过常规的安全措施，在用户浏览网页的时候悄悄植入危险软件。 攻击者利用 ms-appinstaller 隐藏快捷方式，在受害者 PC 上偷偷安装恶意软件。微软本次补丁已经禁用了这个快捷方式，这意味着从网站下载的任何应用程序都必须像正常下载文件一样通过安全检查。

苹果的A/M芯片也被发现推测执行漏洞 苹果称将通过软件更新修复

苹果的A/M芯片也被发现推测执行漏洞 苹果称将通过软件更新修复 研究人员利用漏洞绕过了 Safari 浏览器的安全机制，得以推测性的读取 Safari 浏览器中的数据。这个问题实际上影响的是 WebKit 内核，因此 iOS/iPadOS 上的第三方浏览器例如 Chrome、Firefox 也受影响。 苹果确认这个问题的存在也发布了 macOS 的缓解措施，但缓解措施是默认禁用的。研究人员目前并未发现该漏洞被利用的证据，但这个漏洞被利用也不容易被发现。

苹果发布更新修复两个关键的安全漏洞

苹果发布更新修复两个关键的安全漏洞 苹果公司本周为iPhone、iPad和Mac发布了重要的软件更新，修复了苹果公司已知的被攻击者积极利用的两个安全漏洞。 这两个漏洞是在WebKit（为Safari和其他应用程序提供动力的浏览器引擎）和内核（基本上是操作系统的核心）发现的。这两个漏洞同时影响了iOS和iPadOS以及macOS Monterey。 苹果公司说，如果有漏洞的设备访问或处理 "恶意制作的网页内容可能导致任意代码执行"，WebKit的漏洞就会被利用，而第二个漏洞允许恶意应用程序 "以内核权限执行任意代码"，这意味着对设备的完全访问。这两个缺陷被认为是相关的。... 苹果公司表示，iPhone 6s及以后的机型、iPad Air 2及以后的机型、iPad第五代及以后的机型、iPad mini 4及以后的机型和iPod touch（第七代），以及所有iPad Pro机型都受到影响。

微软敦促 Win10 / Win11 等用户尽快升级，已有黑客利用零日漏洞植入勒索软件

微软敦促 Win10 / Win11 等用户尽快升级，已有黑客利用零日漏洞植入勒索软件 微软本周二在安全公告中表示，已经修复了存在于 Win10、Win11 以及 Windows Server 在内，所有受支持 Windows 版本内的零日漏洞。攻击者可以利用该零日漏洞，发起勒索软件攻击。 微软表示该漏洞存在于 Windows 通用日志文件系统（CLFS）中，攻击者利用该漏洞可获取设备的所有访问权限。 IT之家从网络安全公司卡巴斯基报告中获悉，已经有证据表明攻击者利用该漏洞，部署 Nokoyawa 勒索软件，主要针对位于中东、北美和亚洲的中小型企业的 Windows 服务器。 攻击者利用 Nokoyawa 恶意软件加密文件，窃取有价值的信息，并通过公开信息等方式威胁用户支付赎金。

【慢雾：针对macOS系统恶意软件RustBucket可触发恶意活动密钥】

【慢雾：针对macOS系统恶意软件RustBucket可触发恶意活动密钥】 SlowMist发布安全警报，针对macOS 运行系统的 Rust 和 Objective-C 编写的恶意软件RustBucket，感染链由一个 macOS 安装程序组成，该安装程序安装了一个带后门但功能正常的 PDF 阅读器。然后伪造的 PDF 阅读器需要打开一个特定的 PDF 文件，该文件作为触发恶意活动的密钥。

媒体关注后 苹果公司承诺修复长期被忽视的家长控制漏洞

媒体关注后 苹果公司承诺修复长期被忽视的家长控制漏洞 斯特恩在一篇关于"屏幕时间"的报道中说，她可以在儿子的iPad 上使用一串字符，绕过防止访问色情、暴力图片等网站的限制。她可以在运行 iOS 和 iPadOS 15、16 和 17 以及macOS Sonoma 的设备上绕过"屏幕时间"。苹果公司在给斯特恩的一份声明中说，它意识到"开发人员的底层网络技术协议存在问题，允许用户绕过网络内容限制"。苹果计划在"下一次软件更新"中修复该问题。接受 Stern 采访的安全研究人员表示，该漏洞最早是在 2021 年 3 月报告给苹果公司的，当时发现输入一串字符就可以绕过家长实施的网站限制和公司设备上的网络黑名单。黑客可以绕过 iPhone、iPad 和 Mac 上的限制。苹果公司告诉研究人员这不是一个安全问题，并指示他们使用反馈工具提交报告。报告提交后，苹果公司没有任何回复。研究人员试图重新向苹果公司提交该漏洞，但没有得到任何回复。苹果公司在长达三年的时间里一直忽视了这个问题，直到有人联系到 Stern 并公布了这个问题。由于发现该问题的两名安全研究人员从未分享过该解决方法，因此该解决方法似乎并不为人所知，也未被广泛利用。除了承诺修复外，苹果还表示将致力于改进接收和升级错误报告的流程。斯特恩的报告强调了"屏幕时间"的其他几个错误，包括应用程序限制、"屏幕时间"使用图表、更多时间通知和"要求购买"等问题。苹果在 iOS 17.5 中改进了"屏幕时间"，对应用程序和设备使用跟踪、应用程序限制和时间请求进行了修复，但该公司表示在即将发布的软件版本中还会有更多更新。 ... PC版： 手机版：