Forwarded from 风向旗参考快讯
配置失误 德国顶级域名.de出现因DNSSEC签名错误导致的大范围中断
德国国别顶级域名.de近日因DNSSEC签名错误导致大范围长时间中断。管理机构DENIC在轮换ZSK密钥时发布了格式错误的签名，使得所有启用DNSSEC验证的递归解析器返回SERVFAIL错误，导致大量.de域名无法正常解析。Cloudflare为减轻影响，暂时关闭了针对.de域名的DNSSEC验证，但此举也引发了对潜在安全风险的讨论。业内人士指出，DNSSEC在提升安全性的同时也增加了系统的脆弱性。DENIC已承认问题并正在全力恢复。截至发稿，部分域名已陆续恢复访问。
—— cnBeta
德国国别顶级域名.de近日因DNSSEC签名错误导致大范围长时间中断。管理机构DENIC在轮换ZSK密钥时发布了格式错误的签名，使得所有启用DNSSEC验证的递归解析器返回SERVFAIL错误，导致大量.de域名无法正常解析。Cloudflare为减轻影响，暂时关闭了针对.de域名的DNSSEC验证，但此举也引发了对潜在安全风险的讨论。业内人士指出，DNSSEC在提升安全性的同时也增加了系统的脆弱性。DENIC已承认问题并正在全力恢复。截至发稿，部分域名已陆续恢复访问。
—— cnBeta
鸥 Billchan 鸥 🍟 大薯 | 去码头整点薯条
Forgejo 存在多个安全漏洞，将多个漏洞串联可能可以 RCE SSRF in a lot of places, no CSP/Trusted-Types, a bit of ghetto templating in javascript, cryptographic malpractices, overlooks in the authentication mechanisms (OAuth2, OTP, sessions/access handling, post-compromission recovery…
dustri.org
Follow-up to Carrot disclosure: Forgejo
Personal blog of Julien (jvoisin) Voisin
India loses its last left-wing government after five decades
India’s Kerala, which gave the world its first democratically elected communist government, has voted the left out. Now no Indian state is ruled by the left.
https://www.aljazeera.com/news/2026/5/4/india-loses-its-last-left-wing-government-after-five-decades
India’s Kerala, which gave the world its first democratically elected communist government, has voted the left out. Now no Indian state is ruled by the left.
https://www.aljazeera.com/news/2026/5/4/india-loses-its-last-left-wing-government-after-five-decades
Forwarded from Solidot
未来的 reCAPTCHA 验证将需要手机
2026-05-07 15:18 by 泰坦的女妖
如何遏制智能体给网站带来的欺骗性自动流量？Google 的下一代 reCAPTCHA 验证技术将通过二维码要求人类使用手机进行扫描操作来区分机器和人类。Google 对手机的要求是：运行 iOS v15.0-16.4 的苹果设备，需要下载专门的 reCAPTCHA app；Android 设备运行的 Google Play Services 版本必须高于 25.41.30，该版本是在 2025 年 10 月释出的。以后你可能需要比较新的手机设备才能正常浏览网站。
https://support.google.com/recaptcha/answer/16609652
https://cloud.google.com/blog/products/identity-security/introducing-google-cloud-fraud-defense-the-next-evolution-of-recaptcha/
#移动
2026-05-07 15:18 by 泰坦的女妖
如何遏制智能体给网站带来的欺骗性自动流量？Google 的下一代 reCAPTCHA 验证技术将通过二维码要求人类使用手机进行扫描操作来区分机器和人类。Google 对手机的要求是：运行 iOS v15.0-16.4 的苹果设备，需要下载专门的 reCAPTCHA app；Android 设备运行的 Google Play Services 版本必须高于 25.41.30，该版本是在 2025 年 10 月释出的。以后你可能需要比较新的手机设备才能正常浏览网站。
https://support.google.com/recaptcha/answer/16609652
https://cloud.google.com/blog/products/identity-security/introducing-google-cloud-fraud-defense-the-next-evolution-of-recaptcha/
#移动
👎26😁6👍1
Forwarded from 每日消费电子观察 (无羽の翼 (｢ • ̀ω•́ )｢)
ETtoday
宇樹G1機器人在韓國「出家」 法名「迦悲」還得遵守不過度充電戒律
韓國佛教界近日出現少見的 AI 與宗教結合場景。韓國佛教曹溪宗 6 日在首爾曹溪寺，替中國機器人公司宇樹科技的人形機器人 G1 舉辦正式受戒儀式，並授予法名「迦悲」，象徵成為佛教徒的一員。
👎1🤔1
鸥 Billchan 鸥 🍟 大薯 | 去码头整点薯条
Firefox 150 includes fixes for 271 vulnerabilities identified using Claude Mythos Preview https://blog.mozilla.org/en/firefox/ai-security-zero-day-vulnerabilities/
Behind the Scenes Hardening Firefox with Claude Mythos Preview
https://hacks.mozilla.org/2026/05/behind-the-scenes-hardening-firefox/
https://hacks.mozilla.org/2026/05/behind-the-scenes-hardening-firefox/
Mozilla Hacks – the Web developer blog
Behind the Scenes Hardening Firefox with Claude Mythos Preview
New details about what we found, and how agentic harnesses are now able to reproduce real bugs and dismiss false positives.
鸥 Billchan 鸥 🍟 大薯 | 去码头整点薯条
Copy Fail: A local privilege escalation vulnerability with a working PoC python script exploiting a logic flaw in the kernel crypto API (AF_ALG) affecting most Linux distributions. https://copy.fail/ https://seclists.org/oss-sec/2026/q2/281
Dirty Frag: Universal Linux LPE (CVE-2026-43284 & CVE-2026-43500)
和 Copy Fail 类似，绝大多数发行版可一键提权
禁用 esp4、esp6、rxrpc 可以缓解
5.10.255 / 6.1.171 / 6.6.138 / 6.12.87 / 6.18.28 / 7.0.5 已发布
Debian unstable 中 "Dirty Frag" 已在 7.0.4-1 修复
Debian trixie (13) 中，将在 6.12.86-1 修复
Debian bookworm (12) 中，在 6.1.170-2 中修复
https://dirtyfrag.io/
https://git.kernel.org/pub/scm/linux/kernel/git/netdev/net.git/commit/?id=f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
https://lore.kernel.org/all/afKV2zGR6rrelPC7@v4bel/
exp: https://github.com/V4bel/dirtyfrag/blob/master/exp.c
和 Copy Fail 类似，绝大多数发行版可一键提权
禁用 esp4、esp6、rxrpc 可以缓解
sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"
5.10.255 / 6.1.171 / 6.6.138 / 6.12.87 / 6.18.28 / 7.0.5 已发布
Debian unstable 中 "Dirty Frag" 已在 7.0.4-1 修复
Debian trixie (13) 中，将在 6.12.86-1 修复
Debian bookworm (12) 中，在 6.1.170-2 中修复
https://dirtyfrag.io/
https://git.kernel.org/pub/scm/linux/kernel/git/netdev/net.git/commit/?id=f4c50a4034e62ab75f1d5cdd191dd5f9c77fdff4
https://lore.kernel.org/all/afKV2zGR6rrelPC7@v4bel/
exp: https://github.com/V4bel/dirtyfrag/blob/master/exp.c
😱11
Forwarded from 一个存在的世界 (Miao Wu)
Dirty Frag包含两个漏洞，本来是预计5月12号披露的，但修复第一个漏洞的commit被合并到linux源码后，有其他人发现了这个commit修复的漏洞然后发了出来，于是Dirty Frag提前披露了 https://seclists.org/oss-sec/2026/q2/434
seclists.org
oss-sec: Copy Fail 2 / Dirty Frag — n-day from public commit, not embargo break
Forwarded from Ziyao Channel | 二代目 (梓瑶 | facet normal 0 0 -1)
该 PoC 仅尝试了利用 esp4.ko 中的漏洞（由 CONFIG_INET_ESP 控制构建），写了一个 PR 加上对 esp6.ko 的利用。
https://github.com/V4bel/dirtyfrag/pull/14
https://github.com/V4bel/dirtyfrag/pull/14
GitHub
Try exploiting ESP6 as well by ziyao233 · Pull Request #14 · V4bel/dirtyfrag
For confirming the issue on systems with only CONFIG_INET6_ESP enabled.
AlmaLinux 好快 https://almalinux.org/blog/2026-05-07-dirty-frag/
AlmaLinux OS
Dirty Frag (CVE-2026-43284, CVE-2026-43500) Patches Released
Update: Patched kernels are now in production2026-05-08 15:22 UTC — The patched kernels are now rolling out to production repositories/mirrors. You no longer need to enable the testing repo to get them. Just run:
sudo dnf clean metadata && sudo dnf upgrade…
sudo dnf clean metadata && sudo dnf upgrade…
Forwarded from 今天abc看了啥🤔
鸿蒙上的 Avalonia 和 .NET 项目（OpenHarmony-NET）宣布正式停止更新并归档，原因见图：
https://github.com/OpenHarmony-NET/.github/blob/main/profile/README.md
https://github.com/OpenHarmony-NET/.github/blob/main/profile/README.md
🌭4
鸥 Billchan 鸥 🍟 大薯 | 去码头整点薯条
Dirty Frag: Universal Linux LPE (CVE-2026-43284 & CVE-2026-43500) 和 Copy Fail 类似，绝大多数发行版可一键提权 禁用 esp4、esp6、rxrpc 可以缓解 sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4…
xfrm CVE-2026-43284
(greg)
(greg)
鸥 Billchan 鸥 🍟 大薯 | 去码头整点薯条
xfrm CVE-2026-43284 (greg)
rxrpc 是 CVE-2026-43500
(greg)
(greg)
"Dirty Frag" 在内核 5.10.255 / 6.1.171 / 6.6.138 / 6.12.87 / 6.18.28 / 7.0.5 已发布
Debian unstable 中 "Dirty Frag" 已在 7.0.4-1 修复
Debian trixie (13) 中，将在 6.12.86-1 修复
Debian bookworm (12) 中，在 6.1.170-2 中修复
Debian unstable 中 "Dirty Frag" 已在 7.0.4-1 修复
Debian trixie (13) 中，将在 6.12.86-1 修复
Debian bookworm (12) 中，在 6.1.170-2 中修复
鸥 Billchan 鸥 🍟 大薯 | 去码头整点薯条
"Dirty Frag" 在内核 5.10.255 / 6.1.171 / 6.6.138 / 6.12.87 / 6.18.28 / 7.0.5 已发布 Debian unstable 中 "Dirty Frag" 已在 7.0.4-1 修复 Debian trixie (13) 中，将在 6.12.86-1 修复 Debian bookworm (12) 中，在 6.1.170-2 中修复
upstream 6.1.171 / 5.10.255
Debian bookworm (12) 6.1.170-2
Debian bookworm (12) 6.1.170-2
Forwarded from Cat Ch. (webRTCCat | Present Day, Present Time)
https://weibo.com/1699432410/5296595341675824
#转着圈丢人
#跟风刷机自由小心被窃密#【刷机需谨慎 安全不能丢】#远程帮忙解锁手机可能非好心# 近期，某手机芯片厂商相关漏洞被不法分子定向利用，给网上热炒的“秒解BL锁”行为敲响了警钟。所谓BL，是Bootloader（引导加载程序）的简称，好比手机自带的“官方防盗门”，是手机开机后最先运行的底层程序，负责验证并加载操作系统。而解锁相当于主动拆掉这扇门，以获得“刷机”自由。但“秒解”的捷径，可能成为别有用心之人窃取数据、安装木马的“后门”，需要我们提高警惕、谨慎操作。
#转着圈丢人
#跟风刷机自由小心被窃密#【刷机需谨慎 安全不能丢】#远程帮忙解锁手机可能非好心# 近期，某手机芯片厂商相关漏洞被不法分子定向利用，给网上热炒的“秒解BL锁”行为敲响了警钟。所谓BL，是Bootloader（引导加载程序）的简称，好比手机自带的“官方防盗门”，是手机开机后最先运行的底层程序，负责验证并加载操作系统。而解锁相当于主动拆掉这扇门，以获得“刷机”自由。但“秒解”的捷径，可能成为别有用心之人窃取数据、安装木马的“后门”，需要我们提高警惕、谨慎操作。
Weibo
#跟风刷机自由小心被窃密#刷机需谨慎 安... 来自新华社 - 微博
#跟风刷机自由小心被窃密#【刷机需谨慎 安全不能丢】#远程帮忙解锁手机可能非好心# 近期，某手机芯片厂商相关漏洞被不法分子定向利用，给网上热炒的“秒解BL锁”行为敲响了警钟。所谓BL，是Bootloader（引导加载程...
Forwarded from Hacker News (yahnc_bot)
You gave me a u32. I gave you root. (io_uring ZCRX freelist LPE) https://ze3tar.github.io/post-zcrx.html