Git修补5个漏洞，其中包含子模组复制储存库产生的RCE漏洞

Git修补5个漏洞，其中包含子模组复制储存库产生的RCE漏洞https://ithome.com.tw/news/163000其中最受到关注的漏洞是CVE-2024-32002，Git开发团队将此漏洞的严重程度评为9.1分（满分10分），当大家在Windows或macOS电脑使用子模组（submodules）对软体储存库进行Git处理时，可在Git执行复制（clone）作业的过程当中进行操弄，趁机执行来自git/资料夹的挂勾（hook），而此举将导致远端执行程式码（RCE）的资安危机。

BIG-IP Next集中控管系统存在高风险漏洞，攻击者有可能取得管理控制权、建立隐藏帐号暗中行动

BIG-IPNext集中控管系统存在高风险漏洞，攻击者有可能取得管理控制权、建立隐藏帐号暗中行动https://www.ithome.com.tw/news/1627745月8日F5针对旗下的管理主控台元件BIG-IPNextCentralManager发布20.2.0版，当中修补2项高风险漏洞CVE-2024-21793、CVE-2024-26026，这些漏洞存在于20.0.1至20.1.0版，CVSS风险评分皆为7.5，一旦遭到利用，攻击者就能在未经身分验证的情况下，借由该系统的API执行恶意SQL叙述句（Statements），来触发上述漏洞。

QNAP 修补漏洞进度一拖再拖，研究人员强烈谴责 公开漏洞迫使其尽快修补

QNAP修补漏洞进度一拖再拖，研究人员强烈谴责公开漏洞迫使其尽快修补https://www.hkepc.com/22416https://www.theregister.com/2024/05/20/qnap_watchtowr/（英文）https://www.bleepingcomputer.com/news/security/qnap-qts-zero-day-in-share-feature-gets-public-rce-exploit/（英文）资安机构watchTowr17日发表声明，批评QNAP至今仍未修复1月向其报告的安全漏洞，修补速度极其缓慢，为了让QNAP正视问题，watchTowr决定公开漏洞迫其尽快解决问题。据了解，watchTowr研究QNAPNAS的作业系统，包括QTS、QuTSCloud和QTShero等共发现了15个严重漏洞，其中一个是2023年12月向QNAP公报告，其余漏洞则是1月初报告，但直至2024年5月17日，只有4个漏洞已经被修复，6个漏洞已被QNAP确认但未有修复，还有5个漏洞QNAP完全没有作出公布。———2023-02-01

D-Link 家用路由器 DIR-645 老旧漏洞遭僵尸网路 Goldoon 锁定，遭绑架的设备被用来发动 DDoS 攻击

D-Link家用路由器DIR-645老旧漏洞遭僵尸网路Goldoon锁定，遭绑架的设备被用来发动DDoS攻击https://ithome.com.tw/news/162660资安业者Fortinet于上个月发现僵尸网路Goldoon攻击行动，对方锁定存在已知漏洞CVE-2015-2051的无线路由器DIR-645，并指出这些设备一旦因为具有这些漏洞而遭到入侵，攻击者可得到完整的控制权，并取得系统资讯，与C2伺服器建立通讯，然后发动DDoS攻击。———2024-04-152024-04-082022-04-122018-06-21

僵尸网路 CatDDoS 锁定逾 80 个已知漏洞，入侵多个厂牌网路设备、应用系统并将其用于 DDoS 攻击

僵尸网路CatDDoS锁定逾80个已知漏洞，入侵多个厂牌网路设备、应用系统并将其用于DDoS攻击https://ithome.com.tw/news/163220这些已知漏洞影响的范围很广，涵盖思科、D-Link、居易（DrayTek）、高格（Gocloud）、华为、Netgear、瑞昱（Realtek）、Seagate、SonicWall、腾达（Tenda）、Totolink、TP-Link、中兴（ZTE）、兆勤（Zyxel）等厂商的网路设备，并且也影响许多应用系统及元件，例如：ActiveMQ、Cacti、FreePBX、GitLab、Hadoop、Jenkins、Metabase、Log4j、RocketMQ。

Telegram Desktop 媒体文件处理存在可用于恶意攻击的漏洞

TelegramDesktop媒体文件处理存在可用于恶意攻击的漏洞在TelegramDesktop的媒体处理中检测到可能存在的远程代码执行（RCE）漏洞。此问题使用户面临通过特别制作的媒体文件（如图片或视频）发起的恶意攻击的风险。出于安全考虑，请禁用自动下载功能。请按照以下步骤操作：1.进入设置(Settings)。2.点击“高级(Advanced)”。3.在“自动下载媒体文件(AutomaticMediaDownload")”部分，禁用所有聊天类型（私聊(Privatechats)、群组(Groups)和频道(Channels)）中“照片(Photos)”、“视频(Videos)”和“文件(Files)”的自动下载。线索：@ZaiHuabot投稿：@TNSubmbot频道：@TestFlightCN