Telegram Desktop 媒体文件处理存在可用于恶意攻击的漏洞

TelegramDesktop媒体文件处理存在可用于恶意攻击的漏洞在TelegramDesktop的媒体处理中检测到可能存在的远程代码执行（RCE）漏洞。此问题使用户面临通过特别制作的媒体文件（如图片或视频）发起的恶意攻击的风险。出于安全考虑，请禁用自动下载功能。请按照以下步骤操作：1.进入设置(Settings)。2.点击“高级(Advanced)”。3.在“自动下载媒体文件(AutomaticMediaDownload")”部分，禁用所有聊天类型（私聊(Privatechats)、群组(Groups)和频道(Channels)）中“照片(Photos)”、“视频(Videos)”和“文件(Files)”的自动下载。线索：@ZaiHuabot投稿：@TNSubmbot频道：@TestFlightCN

微软发现可用于控制发电厂启停的设备存在严重漏洞

微软发现可用于控制发电厂启停的设备存在严重漏洞微软研究人员认为，他们在广泛使用的工业软件中发现的不是一个，而是多个高严重性安全漏洞，威胁者可能利用这些漏洞"关闭发电厂"。微软威胁情报专家弗拉基米尔-托卡列夫（VladimirTokarev）在报告中详细描述了CODESYSV3软件开发工具包（SDK）中的15个漏洞，该工具包用于全球工业环境中的数百万个可编程逻辑控制器（PLC）。这些漏洞被追踪为CVE-2022-47379至CVE-2022-47393，严重程度从7.5到10（满分10分）不等。暴露于互联网的CODESYS设备地图500多家此类设备制造商利用CODESYSV3SDK对1000多种不同的PLC型号进行编程，并在从CNC和机器人技术到运动控制、数据中心的电力输送、医疗技术和安全系统，再到商业和住宅建筑的自动化等各种用例中开发定制的自动化应用程序。然而，微软的安全团队将工作重点主要放在针对Wago和施耐德电气设备的嵌入式代码上。虽然这简化了工程师的工作，但使这一切成为可能的嵌入式代码却容易受到远程代码执行和拒绝服务攻击。虽然利用这15个漏洞需要攻击者进行身份验证，但这对那些想篡改工厂或能源基础设施工业运行的有动机的威胁者来说并不是什么障碍。不起眼的PLC是工业和商业自动化的心脏和大脑微软于2022年9月向CODESYS报告了这一发现，后者正在推出补丁来解决相关安全漏洞。系统管理员的当务之急是尽快升级到CODESYSV3v3.5.19.0，同时微软安全专家还建议断开PLC、路由器和其他相关基础设施与互联网的连接，并对其进行分段，以降低攻击影响面。此外，微软365Defender团队还发布了一款开源软件工具，可以帮助工程师和管理员确定基础设施中哪些设备存在漏洞，或者是否已经被入侵。...PC版：https://www.cnbeta.com.tw/articles/soft/1377067.htm手机版：https://m.cnbeta.com.tw/view/1377067.htm

Telegram桌面版存在高危漏洞 用户需禁用媒体(图片/视频/文件)自动下载

Telegram桌面版存在高危漏洞用户需禁用媒体(图片/视频/文件)自动下载目前该漏洞尚未披露并且Telegram也没有发布新版本进行修复，因此属于0day范畴，而且还是零点击的，因此使用该软件的用户需要做好防御。至于漏洞位于哪个组件、具体问题还需要等待Telegram修复后才会披露，估计还需要等待几周具体的漏洞细节才会公布。如何禁用自动下载功能：1.打开TelegramDesktop2.转到设置、高级、自动下载媒体文件3.分别将私聊、群组和频道中的自动下载关闭，包括图片和文件4.全部关闭后保存即可以上安全漏洞仅在Telegram桌面版中存在，可以确认Windows版是存在的，macOS版是否存在还不清楚，TelegramforAndroid/iOS版不存在类似漏洞暂时不需要进行处理。...PC版：https://www.cnbeta.com.tw/articles/soft/1426728.htm手机版：https://m.cnbeta.com.tw/view/1426728.htm