Atop 2.11 heap problemsa year agohttps://openwall.com/lists/oss-security/2025/03/29/1Atop 2.11存在一个与堆问题相关的漏洞（CVE-2025-31160）。该漏洞出现在atop初始化时连接到'atopgpud'守护进程的TCP端口过程中。当同一端口上有恶意程序监听并发送意外字符串时，会导致解析失败和段错误。该漏洞自atop 2.4.0版本起就已存在。解决方案包括：默认不连接TCP端口（需使用'-k'参数启用）、改进'-k'模式下的字符串解析、默认不搜索'netatop'或'netatop-bpf'（需使用'-K'参数启用）。
OSS-SEC: Three bypasses of Ubuntu's unprivileged user namespace restrictionsa year agohttps://seclists.org/oss-sec/2025/q1/253Ubuntu 23.10引入了非特权用户命名空间限制功能（Ubuntu 24.04默认启用），旨在减少内核攻击面。研究人员发现三种绕过方法，可使非特权用户创建具有完全管理员权限的用户命名空间：1. 使用aa-exec切换至预设的AppArmor配置文件（如chrome/flatpak/trinity），这些配置允许创建具备完整权限的用户命名空间2. 执行busybox shell，其预配置的AppArmor策略允许创建带完整权限的用户命名空间3. 通过LD_PRELOAD向nautilus等程序注入shell，这些程序的AppArmor配置同样允许创建全权限命名空间这些绕过手段可被用于利用需要CAP_SYS_ADMIN或CAP_NET_ADMIN等权限的内核漏洞虽然Ubuntu的安全机制旨在防止滥用非特权用户命名空间，但这些绕过方法暴露了潜在漏洞安全公告包含漏洞发现时间线及与Ubuntu安全团队的协调过程，最终促成联合修复发布
HTTPS RR in Curla year agohttps://daniel.haxx.se/blog/2025/03/31/https-rr-in-curl/RFC 9460引入了DNS中的HTTPS资源记录（RR），用于提供目标主机名的服务元数据。HTTPS RR可作为SRV和URI记录的替代方案，并取代HSTS和alt-svc头部功能。HTTPS RR的核心特性包括ECH（加密客户端问候）配置、ALPN列表、目标主机名、端口及IP地址。ECH能加密TLS握手过程中的SNI字段，使监听者无法获取实际通信目标站点。ALPN列表声明支持的HTTP版本，可能直接升级HTTP至HTTPS或支持HTTP/3协议。HTTPS RR可指定服务的备用主机名、端口及IP地址。curl已提供实验性HTTPS RR支持，需在编译时显式启用该功能。curl通过DoH（DNS-over-HTTPS）、c-ares库或结合c-ares的getaddrinfo()实现并行HTTPS RR查询。当前限制包括无法运行时禁用HTTPS RR，且部分功能尚未完全实现。Cloudflare等站点已部署HTTPS RR，鼓励测试并提供反馈以推动改进。Debian实验版本现包含支持HTTPS RR的curl，但因OpenSSL和GnuTLS限制暂未实现ECH功能。
Operationalizing Macaroonsa year agohttps://fly.io/blog/operationalizing-macaroons/Fly.io采用Macaroon令牌实现安全机制，允许用户自主限定令牌权限范围以实现最小权限原则Macaroon令牌需在线状态验证，依赖数据库存储随机数查询，因此开发了tkdb系统——基于LiteFS和Litestream的轻量级SQLite数据库管理方案令牌验证采用缓存机制，缓存命中率达98%，显著降低数据库频繁访问需求吊销功能通过tkdb的黑名单表实现，配合轮询缓存更新机制确保已撤销令牌永久失效服务令牌通过转换和衰减机制进行风险管控，严格限定其仅在特定环境使用通过OpenTelemetry和Honeycomb实现全链路遥测监控，保障令牌系统的稳定运行与操作溯源尽管初期存在疑虑，Macaroon方案经实践验证表现优异，tkdb与Petsem（替代Vault的方案）共同构建了高效的安全与密钥管理体系
Entropy Attacksa year agohttps://blog.cr.yp.to/20140205-entropy.html传统观点认为将多个熵源进行哈希处理是安全的，但如果其中一个熵源具有恶意且能观测其他熵源，这种安全性假设可能不成立。恶意熵源可以操纵哈希函数输出，例如强制其以特定位开头（如'0000'），从而破坏密码学安全性。这种操纵在DSA和ECDSA等密码协议中尤为危险，因为可预测的随机数可能导致密钥泄露。EdDSA通过初始随机性使用后转为确定性算法来缓解该风险，但恶意熵源仍可能影响密钥的少量比特位。随机数生成还可能被攻击者用作隐蔽通信信道来窃取敏感数据。确定性随机数生成方法（如从单个安全密钥派生所有所需随机性）可限制恶意熵源的影响。当前持续添加熵的安全实践反而可能引入漏洞而非增强安全性。文章批评了关于持续添加熵必要性的主张（如Linux的/dev/urandom），认为其缺乏依据。对RNG中'预测抵抗'概念提出质疑，尤其是在长期密钥已泄露的情况下。作者主张转向确定性随机数生成机制，以最小化恶意熵源带来的风险。
Two Attacks on Naive Tree Hashesa year agohttps://jacko.io/tree_hashing.html基于SHA-3的朴素递归树哈希若结构不当可能遭受攻击发现两大安全隐患：抗碰撞性与长度扩展漏洞当两个不同输入产生相同哈希值时发生碰撞，通过`tree_hash`函数演示长度扩展攻击可在不知原始输入的情况下计算扩展输入的哈希值解决方案包括通过前缀/后缀区分叶节点与父节点哈希、根与非根哈希改进版`tree_hash`函数通过添加上下文特定后缀来缓解漏洞文末提供关于安全树哈希模式的延伸阅读参考文献
Pixelfed leaks private posts from other Fediverse instancesa year agohttps://fokus.cool/2025/03/25/pixelfed-vulnerability.htmlPixelfed曾存在一个漏洞，允许未经授权访问来自其他Fediverse实例的私有帖子。该问题源于Pixelfed忽略了'manuallyApprovesFollowers'属性，将所有账户视为未锁定状态。来自Pixelfed实例的合法关注者可能向该实例上的任何用户暴露私有内容。漏洞虽被负责任地报告，但维护者响应迟缓且沟通欠佳。Pixelfed的修复被捆绑在重大更新(v1.12.5)中，增加了管理员快速应用的难度。该事件暴露出对Pixelfed安全实践和维护者行为的广泛担忧。Fediverse生态依赖信任，此次事件凸显了提升安全性与透明度的必要性。
Why Login Failures Mattera year agohttps://fusionauth.io/articles/authentication/login-failures53%的移动用户会在网站加载时间超过3秒时离开。糟糕的用户体验（如指引不明确或输入字段过多）会导致用户受挫及认证失败。验证码或魔法链接等安全措施可能造成摩擦，增加登录失败率。人为错误（忘记凭证、注意力分散）即使经过优化仍会导致登录失败。已认证用户价值更高；提升登录成功率可直接创造商业价值。登录失败会侵蚀用户信任，并可能反映更广泛的应用问题。追踪登录失败有助于及早发现问题并改进流程。解决方案包括自动化帮助、安全凭证重置、无密码选项及「记住我」功能。平衡安全性与易用性对减少登录失败至关重要。
Taming the UB Monsters in C++a year agohttps://herbsutter.com/2025/03/30/crate-training-tiamat-un-calling-cthulhutaming...C++社区正积极致力于强化和保障C++软件安全，重点关注未定义行为(UB)以提升安全防护能力。自C++11起，constexpr编译时代码已消除未定义行为，确保编译时求值的安全性。C++26引入多项改进，如消除未初始化变量的UB及边界强化标准库操作，显著增强安全性。社区正系统性地分类处理C++中的UB问题，采用错误行为规范、特性配置和契约编程等工具。计划发布白皮书系统记录并缓解C++语言UB问题，力求在安全漏洞方面比肩其他现代语言。新提案旨在消除可被远程代码执行(RCE)利用的UB，大幅提升C++软件安全性。该方案在保持C++性能与控制力的同时，允许在需要极致性能的场景进行选择性豁免。采用门槛设计极低，多数改进仅需重新编译，最大限度减少代码修改量。C++标准委员会将安全性作为优先事项，应对日益严峻的网络威胁，力争实现重大安全突破。
SSLyze – SSL configuration scanning library and CLI toola year agohttps://github.com/nabla-c0d3/sslyzeSSLyze 是一款快速强大的SSL/TLS扫描工具及Python库分析SSL/TLS配置以确保强加密，并检测心脏滴血、ROBOT等漏洞专注速度与可靠性，每日扫描数十万台服务器易于实施，可通过CI/CD运行以对照Mozilla推荐TLS配置进行检查提供完整文档的Python API，支持集成到AWS Lambda等应用中支持扫描SMTP、XMPP、LDAP等非HTTP协议服务器扫描结果可保存为JSON格式供后续处理支持通过pip在Windows、Linux和macOS上安装可通过Docker使用或作为预编译的Windows可执行文件运行默认基于Mozilla TLS标准检查服务器配置可配置检查不同级别的Mozilla TLS配置（旧版/中间版/现代版）能集成到CI/CD流水线实现持续合规检查开发环境需通过pip安装并使用invoke运行测试采用GNU Affero通用公共许可证(AGPL)授权
New in Gmail: Making E2E encrypted emails easy to use for all organizationsa year agohttps://workspace.google.com/blog/identity-and-security/gmail-easy-end-to-end-en...谷歌为所有组织推出易于使用的端到端加密（E2EE）电子邮件服务，打破传统IT复杂性。Gmail的E2EE功能现可轻松向任何邮箱发送加密信息，增强数据主权和隐私保护。新功能无需配置S/MIME、管理证书或定制软件，为IT团队和用户大幅简化流程。Gmail端到端加密采用客户自主控制的密钥（非谷歌持有），提供更高等级的安全隐私保障。非Gmail收件人将收到受限版Gmail的邮件查看邀请，确保安全性不妥协。IT团队可强制要求外部收件人使用受限版Gmail，实现更严格的数据管控。该功能由客户端加密（CSE）驱动，数据抵达谷歌服务器前即完成加密，满足合规要求。新增CSE默认模式、分类标签、数据防泄露（DLP）及AI威胁防护模型等多重安全强化措施。谷歌持续加强客户安全与合规体系，Gmail端到端加密功能已开放早期体验通道。
Matrix.org Will Migrate to MASa year agohttps://matrix.org/blog/2025/04/matrix-auth-service/Matrix.org 主服务器的认证系统将于 2025 年 4 月 7 日 UTC 时间上午 7 点迁移至 MAS（Matrix 认证服务）。此次迁移将导致最多一小时的停机时间。MSC3861 及相关提案已取得进展，全部进入或通过最终评论期（FCP），即将合并。新功能包括专属账户管理界面（account.matrix.org）、安全性提升及更流畅的注册体验。MAS 通过确保仅服务器可获取账户凭证并限制敏感操作来增强安全性。现有会话在迁移后仍保持活跃，所有客户端均保持向后兼容。MAS 是由 Element 公司和 BWI 等客户资助的多年项目，支持二维码登录等新型认证流程。非营利组织 Matrix.org 基金会依赖捐赠维护 Matrix 规范及相关服务。
Gmail Users Can Send Encrypted Email to Anyonea year agohttps://www.forbes.com/sites/daveywinder/2025/04/01/gmail-gets-end-to-end-encryp...谷歌于2004年4月1日推出Gmail，目前拥有25亿活跃用户。Gmail正在引入端到端加密（E2EE）功能以增强安全性和隐私保护。谷歌宣称发明了一种新型加密技术，可简化流程并克服复杂性和成本障碍。企业版Gmail用户将能轻松向任何邮箱发送端到端加密邮件。新加密模型无需复杂证书和管理流程，为邮件创建'保护性气泡'。加密密钥由客户而非谷歌控制，确保数据隐私与安全性提升。非Gmail收件人将通过受限版Gmail以谷歌Workspace访客账户身份查看加密邮件。该功能基于Google Workspace的客户端加密技术，目前正分阶段推出，首批开放企业用户测试。
Intuiting TLSa year agohttp://kprotty.me/2025/04/01/intuiting-tls.html互联网的问题：任何位于你和网站之间的第三方都可以查看或篡改通信内容。TLS（传输层安全协议）旨在解决公共环境下的隐私问题。加密基础：使用只有你和网站知道的密码算法。简单密码的问题：需要针对每个网站设计复杂且独特的加密方案。通过带种子（密钥）的随机数生成器（RNG）为每个网站创建独特密码。密钥交换难题：如何在不被截获的情况下安全共享网站密钥。迪菲-赫尔曼密钥交换：利用单向运算和交换运算实现安全密钥共享。认证挑战：确保通信对方身份真实（密钥真实性）。数据真实性：使用哈希函数验证消息完整性。认证加密（AEAD）：将加密与哈希结合确保数据完整性。密钥真实性解决方案：预共享密钥（PSK）或证书信任机制。证书体系：通过可信第三方（根机构）签名验证身份。公钥基础设施（PKI）：基于证书的中心化信任系统。TLS处理边界情况：前向保密、数据/时序攻击等。TLS学习资源：Monocypher、TweetNaCl、Julia Evans的玩具TLS 1.3、xargs图解TLS 1.3。
SELinux on NixOSa year agohttps://tristanxr.com/post/selinux-on-nixos/作者一直在为基于NixOS的移动操作系统ExpidusOS集成SELinux功能SELinux虽已打包在nixpkgs中但需要维护，作者去年接手了这项工作完成了SELinux参考策略(refpolicy)的打包工作，这需要特定的Nix派生调整创建了基础NixOS模块来启用SELinux，包含内核补丁和配置文件初期启用尝试失败，直到使用支持SELinux的systemd后才取得进展遇到策略文件版本问题(policy.33与policy.34)，通过调整构建标志解决成功启用SELinux支持，系统启动时能正确加载策略版本作者清理了nixpkgs中的SELinux处理逻辑，新增全局配置标志(selinuxSupport)以提升兼容性向上游提交了四个PR以将SELinux支持合并到nixpkgs和NixOS未来计划包括在NixOS中实现声明式策略创建，并研究对Nix守护进程的影响
Linux Kernel Defence Map – Security Hardening Conceptsa year agohttps://github.com/a13xp0p0v/linux-kernel-defence-mapLinux内核安全体系复杂，涉及漏洞类别、利用技术、漏洞检测机制和防御技术Linux内核防御技术可分为主线集成、树外方案（部分为商业方案）和硬件相关方案Linux内核防御图谱通过图形化方式呈现安全关系，辅助查阅文档和内核源码该图谱聚焦内核加固技术，不涉及攻击面缩减、用户空间安全或Linux安全模块(LSM)策略图谱托管于GitHub/Codeberg/GitFlic平台，采用DOT语言编写，遵循GPL-3.0协议使用GraphViz生成图谱的命令：`dot -Tsvg linux-kernel-defence-map.dot -o linux-kernel-defence-map.svg`多数Linux内核加固选项未被主流发行版默认启用，需手动配置kernel-hardening-checker工具可自动验证安全加固选项参考文献包含Kees Cook、Shawn C、MSRC、Matt Miller、Abhilash Raj和Stéphane Lesimple的成果
Model Context Protocol (MCP): Landscape, Security Threatsa year agohttps://arxiv.org/abs/2503.23278模型上下文协议（MCP）是为AI模型与外部工具及资源交互制定的标准化接口MCP旨在打破数据孤岛，提升异构系统间的互操作性论文阐述了MCP的核心组件、工作流程及三大生命周期阶段：创建期、运行期与更新期针对各生命周期阶段的安全隐私风险进行分析，并提出了相应的缓解策略当前MCP生态涵盖行业领军企业的应用案例、典型场景及配套工具/平台探讨了MCP未来发展方向，聚焦AI生态系统中的挑战与机遇为利益相关方提供了确保MCP安全可持续发展的实施建议
Hardening the Firefox Front End with Content Security Policiesa year agohttps://attackanddefense.dev/2025/04/09/hardening-the-firefox-frontend-with-cont...Firefox用户界面采用网页技术构建，因此容易遭受XSS等注入攻击内容安全策略(CSP)通过限制脚本执行来缓解XSS攻击为增强安全性，Firefox主界面(browser.xhtml)移除了600多个内联事件处理器替换内联事件处理器需在独立JS文件中使用addEventListener，并考虑event.preventDefault()和this绑定问题正将CSP推广到其他Firefox窗口和对话框，基线策略限制只加载Firefox官方文件最终目标是禁止Firefox中所有动态代码执行(如eval)以防范XSS攻击这些安全改进将随Firefox 138版本发布，显著提高漏洞利用链的门槛
Determining IaC ownership – a tag-based approacha year agohttps://www.token.security/blog/iac-ownership---tag-based-approachIaC所有权对于管理组织中的非人类身份(NHIs)至关重要由于自动化流程的特性，为IaC生成的身份确定所有者具有挑战性不同场景使所有权问题复杂化：直接角色创建、CI/CD触发的部署以及模块使用研究了一种基于标签的方法，通过修改Terraform文件来包含标签以追踪IaC所有权本地运行'terraform plan'有助于识别参与身份创建的文件，而不会影响生产环境挑战包括处理不同云服务提供商、文件格式以及确保标签继承尽管具有潜力，但基于标签的方法难以适应大规模部署理解IaC身份创建机制对故障排查和安全防护都有益处
The Mutable OS: Why Isn't Windows Immutable in 2025?a year agohttps://degruchy.org/2025/04/09/the-mutable-os/不可变操作系统的概念意味着操作系统是只读的，防止对核心系统文件的更改。像Fedora Silverblue和NixOS这样的不可变操作系统将整个系统作为一个单元进行更新，确保可靠性，并在更新失败时轻松回滚。像MS-DOS这样的历史操作系统缺乏强大的权限管理，但现代系统已发展为包含UAC和沙盒等安全功能。不可变操作系统通过保持一致的、经过验证的系统状态，减少了系统错误、恶意软件感染和补丁失败。不可变系统的例子包括iOS、Android、ChromeOS和macOS，它们使用验证启动和独立分区来增强安全性。微软曾通过Windows S模式尝试实现不可变性，但由于Windows Store中应用有限，采用率较低。向后兼容性是Windows采用不可变性的主要障碍，因为许多遗留应用程序依赖对受保护系统区域的写入。实施不可变性可以提高安全性和可靠性，但由于微软对向后兼容性的承诺，它面临着阻力。