[漏洞/一般] ACME 客户端证书获取过程中存在可执行任意代码/命令注入漏洞，且中国证书颁发机构 HiCA 在运行过程中滥用了

[漏洞/一般] ACME 客户端证书获取过程中存在可执行任意代码/命令注入漏洞，且中国证书颁发机构 HiCA 在运行过程中滥用了这个漏洞 处理 ACME 数据时，如果服务器返回的响应不是预期的 JSON 格式，而是其他任意内容，那么会将这些内容原样输出。在这种情况下，HiCA 利用这个特性，通过 Unicode 生成一个二维码，然后注入到 ACME 数据中。然后输出了一个二维码 据 Matt Holt 表示这是他知道的首次对 ACME 生态系统的公然滥用，同时担忧未来可能还会出现更多相同行为。他建议避免使用需要特定 ACME 客户端或有其他不寻常的限制/要求的证书颁发机构，并始终保持你的客户端最新 威胁：一般 ，但漏洞可远程执行 .sh 脚本，且需要使用者注意[实际的远程代码执行（RCE）威胁相对较低，因为用户需要明确配置一个违反 ACME 规定的恶意证书颁发机构] 处置建议：用户在配置 CA 时应避免使用未经信任或未经审核的 CA，并尽量不要使用未经审核的第三方客户端 注意：本次漏洞通报中没有直接证明 HiCA 存在恶意行为，且需要注意的是存在被第三方劫持的安全漏洞 相关链接：

相关推荐

封面图片

Cloudflare弃用DigiCert作为所有SSL证书的证书颁发机构

Cloudflare弃用DigiCert作为所有SSL证书的证书颁发机构 从 2023 年下半年开始，Cloudflare 将开始弃用 DigiCert 作为所有 SSL 证书产品(、、)的证书颁发机构。 这一变化不会影响 Cloudflare 目前正在使用的 DigiCert 颁发的现有证书，但会影响新的证书订单和续订。 在 DigiCert 停用后，证书将开始使用 Let's Encrypt 或 Google Trust Services 作为颁发 CA。如果你有 CA 偏好，建议在停用日期之前采取行动，以指定首选 CA 。 、
封面图片

微信Windows客户端存在"@所有人"功能逻辑漏洞

微信Windows客户端存在"@所有人"功能逻辑漏洞 近日，用户发现微信Windows客户端中存在一个逻辑漏洞，涉及到群聊中的“@所有人”功能。该漏洞允许普通群成员在没有管理员权限的情况下，通过一定的操作艾特群内所有人。 漏洞复现步骤如下： 1. 用户首先需要在一个拥有“@所有人”权限的群聊中。 2. 在输入框中输入“@所有人”，然后将这条待发送的消息剪切。 3. 接着，用户前往目标群聊，随意引用一条消息。 4. 最后，将之前剪切的“@所有人”的消息粘贴到输入框中并发送。 通过这种方法，普通群成员即使没有管理员权限，也可以在群聊中艾特所有人。目前这个漏洞仅在微信的Windows客户端上被复现，尚不清楚其他平台（如iOS或Android）是否存在同样的问题。
封面图片

Chrome 将证书颁发机构 Entrust 移出信任列表

Chrome 将证书颁发机构 Entrust 移出信任列表 谷歌通过博客公告，从 2024 年 11 月 1 日发布的 Chrome 127 版本开始，默认情况下不会信任验证 Entrust 或 AffirmTrust roots 发布的 TLS 服务器验证证书。谷歌称，过去几年中，公开披露的事件报告突显了 Entrust 的一系列令人担忧的行为，这些行为未能达到上述期望，并且削弱了人们对其作为公众信任的 CA 所有者的能力、可靠性和诚信的信心。此前，Mozilla 在 5 月份发布了一份报告，其中汇总了今年 3 月至 5 月期间 Entrust 证书。 以上变化将在除苹果公司移动端以外的所有 Chrome 和 Chromium 发行版上生效，2024 年 11 月 1 日之后签发的 Entrust 证书将被视为无效，并被浏览器默认阻止连接到对应的服务器。
封面图片

QQ Windows 被曝光远程代码执行漏洞

QQ Windows 被曝光远程代码执行漏洞 2023 年 8 月 20 日，赛博昆仑发布报告， QQ Windows 桌面客户端有远程执行的漏洞。 该漏洞为逻辑漏洞，攻击者可以利用该漏洞在 QQ 客户端上进行无需用户确认的文件下载执行行为，当用户点击消息链接时，QQ 客户端会自动下载并打开文件， 最终实现远程代码执行的目的。 影响范围：QQ Windows 版 9.7.13 及以前版本，建议谨慎点击任何消息链接，并使用安全软件扫描下载文件是否异常。
封面图片

，一款开源的GitHub客户端，可用于接收、组织管理 GitHub 通知，包括issue追踪、PR提交、漏洞修复等，支持Wind

，一款开源的GitHub客户端，可用于接收、组织管理 GitHub 通知，包括issue追踪、PR提交、漏洞修复等，支持Windows10/11系统。 此外，该客户端还支持主题定制，分类筛选查询，基于编程语言进行通知过滤等功能
封面图片

简讯: DigiCert 旗下的数字证书颁发机构 Thawte 的一份根证书被吊销，具体吊销原因目前未知

简讯: DigiCert 旗下的数字证书颁发机构 Thawte 的一份根证书被吊销，具体吊销原因目前未知 截止到目前 DigiCert 和 Thawte 都没有发布公告。由于这是根证书，不少软件使用该证书进行的代码签名，证书被吊销后导致软件无法正常打开。 证书thawte Primary Root CA 开始时间： Nov 17 00:00:00 2006 GMT 结束时间：Jul 16 23:59:59 2036 GMT SHA-1：91C6D6EE3E8AC86384E548C299295C756C817B81 SHA-256：8D722F81A9C113C0791DF136A2966DB26C950A971DB46B4199F4EA54B78BFB9F 消息来源:

🔍 发送关键词来寻找群组、频道或视频。

启动SOSO机器人