12 篇文章 含有標籤「Cybersecurity」

CVE-2025-53367: 內容漏洞解釋與修復資訊 🔐​

來源: GitHub Security Blog

內容重點：

• DjVuLibre 3.5.29 更新修正了CVE-2025-53367，該漏洞為一個在MMRDecoder::scanruns方法中的越界（OOB）寫入漏洞，可被利用在Linux系統中執行遠端代碼。
• 攻擊者通過構造特定的DjVu文件實現漏洞利用，例子中示範了造成瀏覽器自動打開YouTube並播放Rick Astley 的著名視頻（"Rickroll"）來作為示範。
• 利用PoC在Ubuntu 25.04（x86_64）環境中成功，雖有不穩定性，但未來有望研發更穩定的攻擊方法。
• 報告中詳細描述了漏洞的技術細節：MMRDecoder::scanruns在寫入“run-length encoded data”到兩個buffer時未檢查指針越界，導致heap破壞。

我的看法：
此漏洞顯示在處理圖像格式的解碼過程中，安全檢查的重要性。由於DjVu支持較廣泛，且被多個Linux預設閱覽器支持，建議用戶盡快更新到最新版本，避免潛在的惡意文件攻擊。🔧

GitHub Advisory Database: 掌握安全漏洞的趨勢與對策 🔒​

來源： https://github.blog/security/github-advisory-database-by-the-numbers-known-security-vulnerabilities-and-what-you-can-do-about-them/

內容摘要：
GitHub 的安全公告資料庫（Advisory DB）是開源專案安全監控的重要資源，收錄已知漏洞與惡意軟體資訊。2024 年，該資料庫經歷多項成長，包括審查數量、涵蓋生態系、來源擴充，且提供多種數據協助開發者進行漏洞優先修復。資料庫分類為：GitHub 審查、未審查、惡意軟體，範圍涵蓋 Python、Java、Node.js 等多個生態圈，並來自 NVD、GitHub、社群等多源，並且支持 CVE 編號與漏洞優先等級的實用數據。