华硕紧急通告：AiCloud 存严重身份验证绕过漏洞（CVE-2025-2492），CVSS评分9.2
2025年4月19日，华硕发布安全公告，警告其部分启用了 AiCloud 功能的路由器 存在严重身份验证绕过漏洞，编号为 CVE-2025-2492，CVSS v4 评分高达 9.2。该漏洞可被远程攻击者通过构造特定请求利用，无需认证即可执行未授权操作，对用户数据和网络安全构成重大威胁。
漏洞影响与风险
AiCloud 是华硕路由器内置的一项远程访问功能，允许用户访问USB存储设备、远程同步文件及分享数据。然而，此次发现的漏洞使得攻击者可以在不登录的情况下远程操控路由器设备，实现文件窃取、配置篡改，甚至作为跳板执行更复杂攻击。
受影响固件版本包括：
• 3.0.0.4_382 系列
• 3.0.0.4_386 系列
• 3.0.0.4_388 系列
• 3.0.0.6_102 系列
官方建议与防护措施
• 立即更新固件：前往 华硕支持网站 下载并安装对应型号的最新固件补丁。
• 加强密码安全：为无线网络和路由器后台设置不少于10位、包含字母、数字和符号的强密码。
• 对于已停产产品，建议用户彻底禁用 AiCloud 功能，并关闭 WAN 接入、端口转发、DDNS、VPN 服务器、DMZ、端口触发及 FTP 功能，以降低被远程攻击的风险。
目前尚无该漏洞被主动利用的报告，但考虑到其无需认证即可被远程利用，建议所有华硕路由器用户尽快采取补救措施，防止潜在攻击。
2025年4月19日，华硕发布安全公告，警告其部分启用了 AiCloud 功能的路由器 存在严重身份验证绕过漏洞，编号为 CVE-2025-2492，CVSS v4 评分高达 9.2。该漏洞可被远程攻击者通过构造特定请求利用，无需认证即可执行未授权操作，对用户数据和网络安全构成重大威胁。
漏洞影响与风险
AiCloud 是华硕路由器内置的一项远程访问功能，允许用户访问USB存储设备、远程同步文件及分享数据。然而，此次发现的漏洞使得攻击者可以在不登录的情况下远程操控路由器设备，实现文件窃取、配置篡改，甚至作为跳板执行更复杂攻击。
受影响固件版本包括：
• 3.0.0.4_382 系列
• 3.0.0.4_386 系列
• 3.0.0.4_388 系列
• 3.0.0.6_102 系列
官方建议与防护措施
• 立即更新固件：前往 华硕支持网站 下载并安装对应型号的最新固件补丁。
• 加强密码安全：为无线网络和路由器后台设置不少于10位、包含字母、数字和符号的强密码。
• 对于已停产产品，建议用户彻底禁用 AiCloud 功能，并关闭 WAN 接入、端口转发、DDNS、VPN 服务器、DMZ、端口触发及 FTP 功能，以降低被远程攻击的风险。
目前尚无该漏洞被主动利用的报告，但考虑到其无需认证即可被远程利用，建议所有华硕路由器用户尽快采取补救措施，防止潜在攻击。
👍9😁5❤1
美国防部长私设“脏网”引发安全危机，疑泄露军事行动细节
据《海军时报》援引多家权威媒体报道，美国国防部长皮特·赫格塞斯（Pete Hegseth）近日被曝私自在办公室引接未受防护的公共互联网线路（俗称“脏网”），并使用个人电脑运行加密通讯应用 Signal，与其家属及官员私下讨论军事空袭计划，严重违反五角大楼保密纪律。
据知情人士透露，赫格塞斯在未经授权的情况下将“脏网”接入五角大楼办公室，并使用个人设备绕过官方通信渠道。该网络未部署任何联邦级安全审查机制，存在严重的监听与攻击风险。更令人担忧的是，赫格塞斯曾在多个非政府聊天群中提及也门空袭的具体行动细节，包括武器投放时间和目标信息。
此次曝光引发了国会两党强烈质询，美国国防部代理监察长已应参议院军事委员会要求启动调查。网络安全专家警告，虽然 Signal 本身提供端到端加密，但在非安全网络与设备上使用，仍极易被中俄等国情报机构侦测或破解。
五角大楼发言人回应称，“赫格塞斯从未在政府设备上使用 Signal”，但未否认其擅自接入“脏网”及使用个人电脑的行为。该事件被视为对美国高级安全通信规范的一次严重挑战，已引发内部高层震荡。
目前尚不清楚是否存在更大范围的信息泄露，但多位国防人士指出，若确有作战细节遭泄，将对作战人员安全构成直接威胁。外界普遍呼吁加强对高级官员使用第三方通信工具的管控，防止国家安全风险进一步扩大。
据《海军时报》援引多家权威媒体报道，美国国防部长皮特·赫格塞斯（Pete Hegseth）近日被曝私自在办公室引接未受防护的公共互联网线路（俗称“脏网”），并使用个人电脑运行加密通讯应用 Signal，与其家属及官员私下讨论军事空袭计划，严重违反五角大楼保密纪律。
据知情人士透露，赫格塞斯在未经授权的情况下将“脏网”接入五角大楼办公室，并使用个人设备绕过官方通信渠道。该网络未部署任何联邦级安全审查机制，存在严重的监听与攻击风险。更令人担忧的是，赫格塞斯曾在多个非政府聊天群中提及也门空袭的具体行动细节，包括武器投放时间和目标信息。
此次曝光引发了国会两党强烈质询，美国国防部代理监察长已应参议院军事委员会要求启动调查。网络安全专家警告，虽然 Signal 本身提供端到端加密，但在非安全网络与设备上使用，仍极易被中俄等国情报机构侦测或破解。
五角大楼发言人回应称，“赫格塞斯从未在政府设备上使用 Signal”，但未否认其擅自接入“脏网”及使用个人电脑的行为。该事件被视为对美国高级安全通信规范的一次严重挑战，已引发内部高层震荡。
目前尚不清楚是否存在更大范围的信息泄露，但多位国防人士指出，若确有作战细节遭泄，将对作战人员安全构成直接威胁。外界普遍呼吁加强对高级官员使用第三方通信工具的管控，防止国家安全风险进一步扩大。
🤡28👍6❤1⚡1
华硕发布安全更新，修复工作站主板中AMIBIOS高危漏洞
华硕（ASUS）近日发布固件更新，修复四款工作站主板中存在的严重安全漏洞（CVE-2024-54085）。该漏洞评分为CVSS满分10/10，由AMI（American Megatrends International）在其MegaRAC基板控制器软件中披露，允许黑客远程完全接管服务器，并可能通过提高电压永久损坏硬件。
据华硕公告，受影响的主板型号包括：
• PRO WS W790E-SAGE SE（v1.1.57）
• PRO WS W680M-ACE SE（v1.1.21）
• PRO WS WRX90E-SAGE SE（v2.1.28）
• Pro WS WRX80E-SAGE SE WIFI（v1.34.0）
攻击者可通过Redfish远程管理接口或BMC接口利用此漏洞，进行恶意软件植入、固件篡改、硬件破坏，甚至触发循环重启攻击。尽管这些更新固件文件发布时间为3月，但华硕为防止未及时更新用户遭攻击，选择在漏洞细节公开前提前发布修复。
华硕建议所有受影响用户立即下载官方提供的BMC固件更新，并在更新时启用“完全刷新”选项以彻底消除隐患。同时提醒，虽然目前漏洞主要涉及工作站级高性能主板，但普通消费级主板用户亦需关注是否存在相关固件更新。
目前暂无公开证据表明该漏洞已被在野利用，但鉴于漏洞危害极高，安全专家强烈呼吁企业与个人用户及时采取防护措施。
华硕（ASUS）近日发布固件更新，修复四款工作站主板中存在的严重安全漏洞（CVE-2024-54085）。该漏洞评分为CVSS满分10/10，由AMI（American Megatrends International）在其MegaRAC基板控制器软件中披露，允许黑客远程完全接管服务器，并可能通过提高电压永久损坏硬件。
据华硕公告，受影响的主板型号包括：
• PRO WS W790E-SAGE SE（v1.1.57）
• PRO WS W680M-ACE SE（v1.1.21）
• PRO WS WRX90E-SAGE SE（v2.1.28）
• Pro WS WRX80E-SAGE SE WIFI（v1.34.0）
攻击者可通过Redfish远程管理接口或BMC接口利用此漏洞，进行恶意软件植入、固件篡改、硬件破坏，甚至触发循环重启攻击。尽管这些更新固件文件发布时间为3月，但华硕为防止未及时更新用户遭攻击，选择在漏洞细节公开前提前发布修复。
华硕建议所有受影响用户立即下载官方提供的BMC固件更新，并在更新时启用“完全刷新”选项以彻底消除隐患。同时提醒，虽然目前漏洞主要涉及工作站级高性能主板，但普通消费级主板用户亦需关注是否存在相关固件更新。
目前暂无公开证据表明该漏洞已被在野利用，但鉴于漏洞危害极高，安全专家强烈呼吁企业与个人用户及时采取防护措施。
🤡12❤3
Telegram近期内容审查机制概览
近期，Telegram针对违规内容的审查力度明显加大，涉及图片、视频、文本等多种类型。具体变化如下：
• 公开/有用户名的频道与群组：内容将被AI模型扫描检测，一旦发现违规，相关频道或群组可能被直接封禁（爆破）。
• 私有频道/群组/私聊：内容不会被AI主动分析，但会通过哈希匹配方式检测，若与已知违规内容哈希值吻合，同样存在被连带封禁的风险。
• 哈希数据库为全局共享：一旦某公开频道被认定含违规内容，其哈希特征将同步到全平台，导致其他即便是私有的频道或群组也可能因匹配中招。
• 申诉机制：封禁后申诉成功率极低，目前统计不足10%。
其他说明：
• 外部链接（任何形式的URL）暂未纳入屏蔽范围，仍相对安全。
使用建议：
• 优先使用私有频道或群组进行内容发布。
• 图文内容发布时可做细微修改（如微调像素、增加符号等）以避免哈希匹配。
• 涉及敏感内容时，建议使用外链方式（如私有图床、网盘）发布，以降低被审查风险。
随着Telegram内容审查机制趋严，用户需加强发布管理，规避连带封禁的潜在风险。
扩展阅读：https://cn.tginfo.me/esafety-analysis
近期，Telegram针对违规内容的审查力度明显加大，涉及图片、视频、文本等多种类型。具体变化如下：
• 公开/有用户名的频道与群组：内容将被AI模型扫描检测，一旦发现违规，相关频道或群组可能被直接封禁（爆破）。
• 私有频道/群组/私聊：内容不会被AI主动分析，但会通过哈希匹配方式检测，若与已知违规内容哈希值吻合，同样存在被连带封禁的风险。
• 哈希数据库为全局共享：一旦某公开频道被认定含违规内容，其哈希特征将同步到全平台，导致其他即便是私有的频道或群组也可能因匹配中招。
• 申诉机制：封禁后申诉成功率极低，目前统计不足10%。
其他说明：
• 外部链接（任何形式的URL）暂未纳入屏蔽范围，仍相对安全。
使用建议：
• 优先使用私有频道或群组进行内容发布。
• 图文内容发布时可做细微修改（如微调像素、增加符号等）以避免哈希匹配。
• 涉及敏感内容时，建议使用外链方式（如私有图床、网盘）发布，以降低被审查风险。
随着Telegram内容审查机制趋严，用户需加强发布管理，规避连带封禁的潜在风险。
扩展阅读：https://cn.tginfo.me/esafety-analysis
Teletype
澳大利亚监管机构对 Telegram 审核调查的一些细节
澳大利亚互联网安全监管机构 eSafety 于 2024 年 3 月启动了对 Telrgram 审核的调查。@tginfo 编辑查阅了已发布的文档。在文档中，Telegram 向该监管机构披露了阻止非法内容的系统的一些工作细节。
🤡48👎13😱8❤5👍3
Clash Verge rev存在严重提权漏洞
今日消息，跨平台代理客户端 Clash Verge rev 存在提权漏洞，影响 Mac、Linux 和 Windows 系统：
• Mac/Linux：可被利用提权至 root。
• Windows：可被利用提权至 SYSTEM 权限。
• 受影响版本包括 最新发布的2.2.4-alpha。
漏洞目前处于未修复状态，相关人员正在积极联系开发者协调修复事宜。
临时防护建议：
• Windows 用户：打开“服务管理器”，禁用 Clash Verge 服务。
• Linux 用户：使用 systemctl stop clash-verge-service && systemctl disable clash-verge-service 停止并禁用服务。
• Mac 用户：在“系统设置”中，关闭名为 “won fen” 的后台自启动权限。
如非必要，近期请谨慎使用 Clash Verge rev，避免因提权漏洞导致系统被入侵或远程控制。
后续若有官方更新修复，建议第一时间升级。
来源 X（原Twitter） @KawaiiZapic
今日消息，跨平台代理客户端 Clash Verge rev 存在提权漏洞，影响 Mac、Linux 和 Windows 系统：
• Mac/Linux：可被利用提权至 root。
• Windows：可被利用提权至 SYSTEM 权限。
• 受影响版本包括 最新发布的2.2.4-alpha。
漏洞目前处于未修复状态，相关人员正在积极联系开发者协调修复事宜。
临时防护建议：
• Windows 用户：打开“服务管理器”，禁用 Clash Verge 服务。
• Linux 用户：使用 systemctl stop clash-verge-service && systemctl disable clash-verge-service 停止并禁用服务。
• Mac 用户：在“系统设置”中，关闭名为 “won fen” 的后台自启动权限。
如非必要，近期请谨慎使用 Clash Verge rev，避免因提权漏洞导致系统被入侵或远程控制。
后续若有官方更新修复，建议第一时间升级。
来源 X（原Twitter） @KawaiiZapic
👍28😱18❤2👎1
截屏2025-05-09 10.44.12.png
442.6 KB
中国军方网站 81.cn chinamil.com.cn疑似遭到入侵
🙉45😁11👍6🤣4🤔3
Dior中国客户数据遭泄露，波及姓名、手机号、消费偏好等信息
2025年5月12日晚，多位网友称收到法国奢侈品牌 Dior（迪奥） 发出的短信通知，确认其在中国的部分客户信息遭到未经授权的访问。Dior表示，该事件发生于 2025年5月7日，目前公司正在网络安全专家协助下展开调查，并已向相关监管机构报备。
据初步调查，泄露信息范围可能包括：姓名、性别、手机号、邮箱、地址、消费水平与偏好，以及客户主动提供的其他资料。Dior尚未说明具体受影响人数。
Dior建议客户警惕不明短信、电话与邮件，避免点击可疑链接或泄露验证码、密码等敏感数据。如有疑问，可联系官方客服核实。品牌方面表示“深表歉意”，并承诺将继续强化客户信息保护。
此次事件再次凸显奢侈品牌在数字化服务过程中所面临的隐私安全挑战。
2025年5月12日晚，多位网友称收到法国奢侈品牌 Dior（迪奥） 发出的短信通知，确认其在中国的部分客户信息遭到未经授权的访问。Dior表示，该事件发生于 2025年5月7日，目前公司正在网络安全专家协助下展开调查，并已向相关监管机构报备。
据初步调查，泄露信息范围可能包括：姓名、性别、手机号、邮箱、地址、消费水平与偏好，以及客户主动提供的其他资料。Dior尚未说明具体受影响人数。
Dior建议客户警惕不明短信、电话与邮件，避免点击可疑链接或泄露验证码、密码等敏感数据。如有疑问，可联系官方客服核实。品牌方面表示“深表歉意”，并承诺将继续强化客户信息保护。
此次事件再次凸显奢侈品牌在数字化服务过程中所面临的隐私安全挑战。
😁31💩13🤡7❤1👏1
macOS 16将引入剪切板权限机制，阻止应用偷偷读取内容
苹果宣布将在即将发布的 macOS 16 系统中加入 剪切板访问权限控制机制，以防止应用程序在未获用户同意的情况下读取剪切板内容，从而更好地保护用户隐私和资产安全。
这一机制与 iOS 14+ 类似：当用户主动进行粘贴操作时不会弹窗，但若应用尝试在未与用户交互的情况下读取剪切板内容，系统将发出提示并请求授权。
苹果表示，此功能主要针对 剪切板窃取类攻击，如加密货币领域常见的助记词/私钥监听与钱包地址替换行为。今后，macOS 将支持开发者检测剪切板数据类型（如文本、图片等），无需实际读取数据；用户也可自主设置访问权限（始终允许、始终拒绝或每次询问）。
苹果软件工程师 Jeff Nadeau 强调，部分应用会在后台持续监控剪切板，存在严重隐私风险。新权限机制有望彻底切断这类行为，标志着 macOS 隐私保护进一步向 iOS 看齐。开发者需尽早适配新 API，确保应用在 macOS 16 中正常运行。
苹果宣布将在即将发布的 macOS 16 系统中加入 剪切板访问权限控制机制，以防止应用程序在未获用户同意的情况下读取剪切板内容，从而更好地保护用户隐私和资产安全。
这一机制与 iOS 14+ 类似：当用户主动进行粘贴操作时不会弹窗，但若应用尝试在未与用户交互的情况下读取剪切板内容，系统将发出提示并请求授权。
苹果表示，此功能主要针对 剪切板窃取类攻击，如加密货币领域常见的助记词/私钥监听与钱包地址替换行为。今后，macOS 将支持开发者检测剪切板数据类型（如文本、图片等），无需实际读取数据；用户也可自主设置访问权限（始终允许、始终拒绝或每次询问）。
苹果软件工程师 Jeff Nadeau 强调，部分应用会在后台持续监控剪切板，存在严重隐私风险。新权限机制有望彻底切断这类行为，标志着 macOS 隐私保护进一步向 iOS 看齐。开发者需尽早适配新 API，确保应用在 macOS 16 中正常运行。
👍47🥰6
苹果修复iPhone 16e自研基带首个漏洞，3位中国研究者获致谢
2025年5月12日，苹果公司发布安全公告，确认将在即将发布的 iOS 18.5 正式版 中修复多个安全问题。其中，最受关注的是针对 iPhone 16e 搭载的自研 C1 5G 基带芯片的首个漏洞修复。
该漏洞编号为 CVE-2025-31214，攻击者若处于特定网络环境下，可能通过中间人攻击拦截设备的数据流量。苹果称，已通过优化状态管理和验证机制修复该漏洞，提升了通信过程中的安全性。
值得一提的是，苹果在公告中向三位中国安全研究人员——秦若涵、崔志伟和崔宝江表示感谢。三人均来自北京邮电大学，长期从事网络与通信安全研究。崔志伟曾入选 GSMA 移动安全名人堂，崔宝江为该校博士生导师，多次参与国家级网络安全项目。
除了基带漏洞，iOS 18.5 还修复了图像处理、蓝牙、文件解析、ProRes 编码、WebKit 引擎等多个模块的安全隐患，全面提升系统稳定性与隐私防护能力。苹果此次重申其对第三方安全研究者的高度重视，并鼓励更多研究人员参与产品安全改进。
2025年5月12日，苹果公司发布安全公告，确认将在即将发布的 iOS 18.5 正式版 中修复多个安全问题。其中，最受关注的是针对 iPhone 16e 搭载的自研 C1 5G 基带芯片的首个漏洞修复。
该漏洞编号为 CVE-2025-31214，攻击者若处于特定网络环境下，可能通过中间人攻击拦截设备的数据流量。苹果称，已通过优化状态管理和验证机制修复该漏洞，提升了通信过程中的安全性。
值得一提的是，苹果在公告中向三位中国安全研究人员——秦若涵、崔志伟和崔宝江表示感谢。三人均来自北京邮电大学，长期从事网络与通信安全研究。崔志伟曾入选 GSMA 移动安全名人堂，崔宝江为该校博士生导师，多次参与国家级网络安全项目。
除了基带漏洞，iOS 18.5 还修复了图像处理、蓝牙、文件解析、ProRes 编码、WebKit 引擎等多个模块的安全隐患，全面提升系统稳定性与隐私防护能力。苹果此次重申其对第三方安全研究者的高度重视，并鼓励更多研究人员参与产品安全改进。
👍28🤮6🤡4🖕2
BitLocker遭纯软件破解！研究人员5分钟绕过加密防护
近日，安全研究人员披露了一项名为“Bitpixie”（CVE-2023-21563）的严重漏洞，展示了在无需物理工具或硬件接触的情况下，如何绕过微软BitLocker加密机制并在5分钟内解密受保护设备。
由Compass Security主导的红队评估指出，该漏洞可从内存中提取BitLocker卷主密钥（VMK），完全依赖软件操作，风险高度隐蔽且破坏性强。
两种攻击路径：
• Linux方案： 利用PXE启动签名的Linux内核，扫描内存获取VMK，再用工具如Dislocker挂载加密卷。适用于无预启动认证的设备。
• WinPE方案： 针对限制第三方启动的系统，攻击者加载微软签名的Windows PE组件并通过WinPmem工具提取内存中密钥。
关键条件：
只要BitLocker未启用PIN码或USB认证，攻击者无需登录权限即可解密系统。
安全建议：
研究人员强烈建议所有BitLocker用户启用预启动认证（如PIN或USB密钥），以阻止Bitpixie类攻击。同时，组织应立即审查设备配置，并防止无授权的网络启动。
此次漏洞暴露了BitLocker默认配置的关键短板，再次提醒：便利性不应以牺牲安全为代价。
参考链接 [1]
近日，安全研究人员披露了一项名为“Bitpixie”（CVE-2023-21563）的严重漏洞，展示了在无需物理工具或硬件接触的情况下，如何绕过微软BitLocker加密机制并在5分钟内解密受保护设备。
由Compass Security主导的红队评估指出，该漏洞可从内存中提取BitLocker卷主密钥（VMK），完全依赖软件操作，风险高度隐蔽且破坏性强。
两种攻击路径：
• Linux方案： 利用PXE启动签名的Linux内核，扫描内存获取VMK，再用工具如Dislocker挂载加密卷。适用于无预启动认证的设备。
• WinPE方案： 针对限制第三方启动的系统，攻击者加载微软签名的Windows PE组件并通过WinPmem工具提取内存中密钥。
关键条件：
只要BitLocker未启用PIN码或USB认证，攻击者无需登录权限即可解密系统。
安全建议：
研究人员强烈建议所有BitLocker用户启用预启动认证（如PIN或USB密钥），以阻止Bitpixie类攻击。同时，组织应立即审查设备配置，并防止无授权的网络启动。
此次漏洞暴露了BitLocker默认配置的关键短板，再次提醒：便利性不应以牺牲安全为代价。
参考链接 [1]
😱50😁6❤3👍2🥱2🎉1🤡1
Tor发布Oniux工具为Linux应用打造内核级网络匿名环境
Tor项目发布新工具 Oniux，旨在为任意Linux应用程序提供网络流量的匿名化隔离。该工具基于Linux命名空间实现核心隔离，强制所有流量通过Tor网络传输，从而防止数据泄露。
Oniux亮点：
• 内核级网络隔离： 使用Linux network/user/PID命名空间，为每个应用创建独立网络环境。
• 流量全量Tor路由： 通过onionmasq附加虚拟网卡，强制流量进入Tor网络。
• 安全DNS： 自动挂载独立的resolv.conf文件，确保DNS查询不会泄露。
• 与Torsocks对比：
• 支持静态/非libc应用；
• 拦截原始系统调用；
• 具备完整封闭的运行环境。
相比传统 Torsocks，Oniux具备更高的安全性和更强的防绕过能力，但目前仍处实验阶段，不建议用于生产环境。
项目现已开放源代码，Linux用户可通过Rust工具链编译体验。Oniux为日后构建高安全、高匿名的Linux运行环境提供了重要探索路径。
参考链接 [1]
Tor项目发布新工具 Oniux，旨在为任意Linux应用程序提供网络流量的匿名化隔离。该工具基于Linux命名空间实现核心隔离，强制所有流量通过Tor网络传输，从而防止数据泄露。
Oniux亮点：
• 内核级网络隔离： 使用Linux network/user/PID命名空间，为每个应用创建独立网络环境。
• 流量全量Tor路由： 通过onionmasq附加虚拟网卡，强制流量进入Tor网络。
• 安全DNS： 自动挂载独立的resolv.conf文件，确保DNS查询不会泄露。
• 与Torsocks对比：
• 支持静态/非libc应用；
• 拦截原始系统调用；
• 具备完整封闭的运行环境。
相比传统 Torsocks，Oniux具备更高的安全性和更强的防绕过能力，但目前仍处实验阶段，不建议用于生产环境。
项目现已开放源代码，Linux用户可通过Rust工具链编译体验。Oniux为日后构建高安全、高匿名的Linux运行环境提供了重要探索路径。
参考链接 [1]
🫡36❤7🤔5👍2🤡1
Chrome修复高危漏洞CVE-2025-4664，可被用来绕过MFA实施账户接管
2025年5月，Google发布紧急更新，修复一枚编号为CVE-2025-4664的高危安全漏洞，该漏洞已被黑客在野外利用。该漏洞存在于Chrome 136.0.7103.113 之前的版本，影响Windows、macOS 和 Linux 用户。
该漏洞源于浏览器对HTTP响应中 Link 头部的处理缺陷，攻击者可通过设置不安全的 referrer-policy，诱导浏览器将完整的URL查询参数（如OAuth令牌）泄露给第三方服务器。攻击成功后，黑客可绕过多因素认证（MFA），控制用户账户。
研究者指出，该漏洞特别适用于窃取OAuth认证流程中的敏感参数，具备在SSO等场景中实施账户接管的可能性。
Google建议用户立即将Chrome更新至以下版本以修复漏洞：
• Windows/macOS：136.0.7103.113 / .114
• Linux：136.0.7103.113
该漏洞已在野被利用，建议企业和个人用户高度警惕，尽快完成浏览器更新。
参考链接 [1]
2025年5月，Google发布紧急更新，修复一枚编号为CVE-2025-4664的高危安全漏洞，该漏洞已被黑客在野外利用。该漏洞存在于Chrome 136.0.7103.113 之前的版本，影响Windows、macOS 和 Linux 用户。
该漏洞源于浏览器对HTTP响应中 Link 头部的处理缺陷，攻击者可通过设置不安全的 referrer-policy，诱导浏览器将完整的URL查询参数（如OAuth令牌）泄露给第三方服务器。攻击成功后，黑客可绕过多因素认证（MFA），控制用户账户。
研究者指出，该漏洞特别适用于窃取OAuth认证流程中的敏感参数，具备在SSO等场景中实施账户接管的可能性。
Google建议用户立即将Chrome更新至以下版本以修复漏洞：
• Windows/macOS：136.0.7103.113 / .114
• Linux：136.0.7103.113
该漏洞已在野被利用，建议企业和个人用户高度警惕，尽快完成浏览器更新。
参考链接 [1]
👍14
Telegram打击非法加密市场：关闭新币担保与好旺担保数千账户
5月13日，Telegram采取行动，关闭了与两个臭名昭著的加密黑市网络——新币担保与好旺担保相关的数千个账户，有效阻断其通过平台开展非法交易活动。
据区块链分析公司 Elliptic 报告，这两个网络通过Telegram渠道累计促成超过350亿美元的稳定币交易。好旺担保在被关闭前，充当东南亚客户间的数字黑市，涉及洗钱、数据交易等非法服务，交易额超过270亿美元。其主要使用由Huione集团支持的USDH稳定币。Huione是一家总部位于柬埔寨的金融机构，近期被美国财政部金融犯罪执法网络（FinCEN）列为洗钱机构，并被指涉与朝鲜黑客有关，交易总额超40亿美元。
在好旺退出后，Elliptic发现其运营方正引导用户转向与Huione有关联的另一个平台“土豆担保”，显示非法交易网络正尝试在Telegram上重新集结。
另一个被关闭的平台“新币担保”则处理了价值84亿美元的USDT交易，涉及更广泛的非法服务，包括洗钱、恐吓与性交易，并试图通过注册“新币有限公司”在美国科罗拉多州为自身合法性背书。Elliptic指出，该平台也与朝鲜有关联。
尽管Telegram已拆除这些平台的基础设施，但Elliptic联合创始人汤姆·罗宾逊表示，这些黑市“利润丰厚，不太可能彻底放弃”，其运营方正在尝试重组并寻找重新上线的途径。
当前Telegram尚未正式回应此次行动，但此举反映出平台在配合打击加密犯罪方面的关键作用。安全专家呼吁加强加密平台的监管和透明度，以遏制数字金融领域日益猖獗的非法活动。
参考链接 [1]
5月13日，Telegram采取行动，关闭了与两个臭名昭著的加密黑市网络——新币担保与好旺担保相关的数千个账户，有效阻断其通过平台开展非法交易活动。
据区块链分析公司 Elliptic 报告，这两个网络通过Telegram渠道累计促成超过350亿美元的稳定币交易。好旺担保在被关闭前，充当东南亚客户间的数字黑市，涉及洗钱、数据交易等非法服务，交易额超过270亿美元。其主要使用由Huione集团支持的USDH稳定币。Huione是一家总部位于柬埔寨的金融机构，近期被美国财政部金融犯罪执法网络（FinCEN）列为洗钱机构，并被指涉与朝鲜黑客有关，交易总额超40亿美元。
在好旺退出后，Elliptic发现其运营方正引导用户转向与Huione有关联的另一个平台“土豆担保”，显示非法交易网络正尝试在Telegram上重新集结。
另一个被关闭的平台“新币担保”则处理了价值84亿美元的USDT交易，涉及更广泛的非法服务，包括洗钱、恐吓与性交易，并试图通过注册“新币有限公司”在美国科罗拉多州为自身合法性背书。Elliptic指出，该平台也与朝鲜有关联。
尽管Telegram已拆除这些平台的基础设施，但Elliptic联合创始人汤姆·罗宾逊表示，这些黑市“利润丰厚，不太可能彻底放弃”，其运营方正在尝试重组并寻找重新上线的途径。
当前Telegram尚未正式回应此次行动，但此举反映出平台在配合打击加密犯罪方面的关键作用。安全专家呼吁加强加密平台的监管和透明度，以遏制数字金融领域日益猖獗的非法活动。
参考链接 [1]
🤡22🎉12👍3🥰1
隐私中国 Dark Web Inform
Telegram打击非法加密市场：关闭新币担保与好旺担保数千账户 5月13日，Telegram采取行动，关闭了与两个臭名昭著的加密黑市网络——新币担保与好旺担保相关的数千个账户，有效阻断其通过平台开展非法交易活动。 据区块链分析公司 Elliptic 报告，这两个网络通过Telegram渠道累计促成超过350亿美元的稳定币交易。好旺担保在被关闭前，充当东南亚客户间的数字黑市，涉及洗钱、数据交易等非法服务，交易额超过270亿美元。其主要使用由Huione集团支持的USDH稳定币。Huione是一家总部位…
价值数十万人民币的NFT用户名也被官方封禁
🤡28🍾14❤1
Chrome将引入Edge安全机制：阻止以管理员权限启动
近日，Google宣布Chrome浏览器将继承Microsoft Edge的一项关键安全功能，自动阻止用户在Windows系统中以提升的管理员权限运行浏览器。该功能旨在降低恶意软件利用管理员级浏览器进程造成系统破坏的风险。
具体而言，若用户尝试以管理员权限启动Chrome，浏览器将被自动终止并以普通用户权限重新启动。仅在特定命令行参数或自动化场景下，Chrome才允许以管理员权限运行，以保证自动化流程的兼容性。
这一机制自2019年起已在Microsoft Edge中启用，此次微软将其核心代码贡献给Chromium开源项目，使包括Chrome、Opera、Vivaldi等在内的众多浏览器受益。新功能预计将在未来版本中逐步部署，进一步加强用户系统的防护能力。
近日，Google宣布Chrome浏览器将继承Microsoft Edge的一项关键安全功能，自动阻止用户在Windows系统中以提升的管理员权限运行浏览器。该功能旨在降低恶意软件利用管理员级浏览器进程造成系统破坏的风险。
具体而言，若用户尝试以管理员权限启动Chrome，浏览器将被自动终止并以普通用户权限重新启动。仅在特定命令行参数或自动化场景下，Chrome才允许以管理员权限运行，以保证自动化流程的兼容性。
这一机制自2019年起已在Microsoft Edge中启用，此次微软将其核心代码贡献给Chromium开源项目，使包括Chrome、Opera、Vivaldi等在内的众多浏览器受益。新功能预计将在未来版本中逐步部署，进一步加强用户系统的防护能力。
🤓27👍14💩7👎1