新的 Windows 0day 提权漏洞披露: 基于更新补丁仅需可执行程序
昨天(22日), 安全研究员 Naceri 在 Github 上发布了一个新的 0day 概念漏洞验证仓库, 称这个漏洞适用于所有正受支持的 Windows 版本(包括 Windows 11 和 WinServer 2022 以及安装过 11 月更新补丁的 Windows).
本来, 微软 11 月的更新补丁修复了一个 "Windows Installer 提权漏洞", 这个漏洞被记录为 "CVE-2021-41379", 而后 Naceri 分析补丁时发现这个漏洞并没有被正确地修复, 不竟如此他还发现了另一个变种漏洞并且 "比原来的那个还要强大",
这个被 Naceri 称为 "InstallerFileTakeOver" 的漏洞只需要 Windows 普通用户执行他仓库中发布的 "InstallerFileTakeOver.exe" 就能获得立即获得管理员权限提升, 前后不到三秒钟.
Naceri 最后说: "介于此漏洞的复杂性, 最好的办法是等待微软发布安全补丁, 不要自行尝试修复否则将会破坏 Windows Installer.", 而至于为什么选择披露这个漏洞, Naceri 回应说: "从 2020 年 4 月以来, 微软降级了安全漏洞的赏金额度, 如果微软不这么做, 我真的不想这么干.", Naceri 还在去年七月底的一条推特上吐槽微软的 0day 漏洞赏金从一万美元每个降到了一千美元每个.
from: BleepingComputer
附录:
1. CVE-2021-41379 - 安全更新程序指南 - Microsoft - Windows Installer 特权提升漏洞 #news
2. klinix5/InstallerFileTakeOver(Github)
3. Naceri 吐槽(Twitter@MalwareTechBlog)
昨天(22日), 安全研究员 Naceri 在 Github 上发布了一个新的 0day 概念漏洞验证仓库, 称这个漏洞适用于所有正受支持的 Windows 版本(包括 Windows 11 和 WinServer 2022 以及安装过 11 月更新补丁的 Windows).
本来, 微软 11 月的更新补丁修复了一个 "Windows Installer 提权漏洞", 这个漏洞被记录为 "CVE-2021-41379", 而后 Naceri 分析补丁时发现这个漏洞并没有被正确地修复, 不竟如此他还发现了另一个变种漏洞并且 "比原来的那个还要强大",
这个被 Naceri 称为 "InstallerFileTakeOver" 的漏洞只需要 Windows 普通用户执行他仓库中发布的 "InstallerFileTakeOver.exe" 就能获得立即获得管理员权限提升, 前后不到三秒钟.
Naceri 最后说: "介于此漏洞的复杂性, 最好的办法是等待微软发布安全补丁, 不要自行尝试修复否则将会破坏 Windows Installer.", 而至于为什么选择披露这个漏洞, Naceri 回应说: "从 2020 年 4 月以来, 微软降级了安全漏洞的赏金额度, 如果微软不这么做, 我真的不想这么干.", Naceri 还在去年七月底的一条推特上吐槽微软的 0day 漏洞赏金从一万美元每个降到了一千美元每个.
from: BleepingComputer
附录:
1. CVE-2021-41379 - 安全更新程序指南 - Microsoft - Windows Installer 特权提升漏洞 #news
2. klinix5/InstallerFileTakeOver(Github)
3. Naceri 吐槽(Twitter@MalwareTechBlog)
研究：iPhone13上市后的保值率远高于其他任何一款iPhone
根据SellCell的研究，在发布两个月后，iPhone 13系列产品的贬值率达到了前所未有的低水平。SellCell的研究基于45家回购供应商的数据，其显示iPhone 13在上市后头两个月的保值率是所有iPhone中最高的。总体而言，iPhone 13机型平均只贬值了25.5%。
相比之下，iPhone 11系列在上市后的同一时期就损失了44.6%的价值，iPhone 12系列损失了41%的价值。
在上市后的第一和第二个月之间，iPhone 13机型平均只贬值了0.6%，到第一个月末贬值24.9%，到第二个月末贬值25.5%。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
根据SellCell的研究，在发布两个月后，iPhone 13系列产品的贬值率达到了前所未有的低水平。SellCell的研究基于45家回购供应商的数据，其显示iPhone 13在上市后头两个月的保值率是所有iPhone中最高的。总体而言，iPhone 13机型平均只贬值了25.5%。
相比之下，iPhone 11系列在上市后的同一时期就损失了44.6%的价值，iPhone 12系列损失了41%的价值。
在上市后的第一和第二个月之间，iPhone 13机型平均只贬值了0.6%，到第一个月末贬值24.9%，到第二个月末贬值25.5%。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
苹果公司周二表示，已对以色列网络公司NSO Group及其母公司OSY Technologies提起诉讼，指控NSO利用其间谍软件Pegasus监视美国苹果用户，并把他们作为攻击目标。
NSO创造了100多个虚假Apple ID用户凭证来实施攻击。苹果称，公司的服务器并未被入侵，但是NSO滥用和操纵服务器来对苹果用户实施攻击。
NSO此前表示，只向执法部门和情报机构出售产品，并将采取措施限制滥用问题。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
NSO创造了100多个虚假Apple ID用户凭证来实施攻击。苹果称，公司的服务器并未被入侵，但是NSO滥用和操纵服务器来对苹果用户实施攻击。
NSO此前表示，只向执法部门和情报机构出售产品，并将采取措施限制滥用问题。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
网传腾讯旗下 APP 将暂停更新，腾讯回应：正配合监管升级保护措施
网传即日起腾讯计算机主体旗下所有APP将暂停版本更新，各应用商店和分发平台立即执行。腾讯 回应《科创板日报》记者表示，正持续升级APP对用户权益保护的各项措施，并配合监管部门进行正常的合规检测。在此期间，用户可正常下载使用APP现有版本。
今年以来，在工业和信息化部开展的APP侵害用户权益专项整治中，腾讯公司旗下9款产品存在违规行为共计4批次被公开通报，违反了2021年信息通信业行风纠风相关要求。按照有关部署，工信部对腾讯公司采取过渡性的行政指导措施，主要要求是，对于即将发布的APP新产品，以及既有APP产品的更新版本，上架前需经工信部组织技术检测，检测合格后正常上架。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
网传即日起腾讯计算机主体旗下所有APP将暂停版本更新，各应用商店和分发平台立即执行。腾讯 回应《科创板日报》记者表示，正持续升级APP对用户权益保护的各项措施，并配合监管部门进行正常的合规检测。在此期间，用户可正常下载使用APP现有版本。
今年以来，在工业和信息化部开展的APP侵害用户权益专项整治中，腾讯公司旗下9款产品存在违规行为共计4批次被公开通报，违反了2021年信息通信业行风纠风相关要求。按照有关部署，工信部对腾讯公司采取过渡性的行政指导措施，主要要求是，对于即将发布的APP新产品，以及既有APP产品的更新版本，上架前需经工信部组织技术检测，检测合格后正常上架。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
Mozilla 将于 12 月终止对 Firefox Lockwise Password Manager 的支持
Mozilla 已告诉其 Lockwise 密码管理应用程序的用户，它将在 12 月 13 日正式终止对该应用程序的支持。虽然密码管理器将在该日期之后继续工作，但将不再获得支持或安全更新。注意转移。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
Mozilla 已告诉其 Lockwise 密码管理应用程序的用户，它将在 12 月 13 日正式终止对该应用程序的支持。虽然密码管理器将在该日期之后继续工作，但将不再获得支持或安全更新。注意转移。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
Forwarded from 宥叡 吳
微信WeChat 最新macOS测试版v3.2.2.9
更新内容：
1. 可以把免打扰的群收进「折叠的群聊」。
2.置顶聊天过多时，可以将其折叠。
3.修复了一些已知问题。
下载链结：https://dldir1.qq.com/weixin/mac/WeChatMac_Beta.dmg?t=1637739352
更新内容：
1. 可以把免打扰的群收进「折叠的群聊」。
2.置顶聊天过多时，可以将其折叠。
3.修复了一些已知问题。
下载链结：https://dldir1.qq.com/weixin/mac/WeChatMac_Beta.dmg?t=1637739352
原文地址：http://www.pbc.gov.cn/tiaofasi/144941/3581332/4359567/index.html
Kevin Lysk
频道投稿：@zaihuabot
关注频道：@TestFlightCN
频道群聊：@ZaihuaChat
Kevin Lysk
频道投稿：@zaihuabot
关注频道：@TestFlightCN
频道群聊：@ZaihuaChat
微信：涉及明星艺人控评、爆料等相关内容的账号将无法创建
11月25日消息，微信安全中心订阅号发布消息称，平台将按照《关于进一步加强娱乐明星网上信息规范相关工作的通知》要求，进一步规范娱乐明星信息的网上呈现，在帐号注册、认证、管理、信息发布、处置等环节，微信平台已经建立了严格的风险防范机制，进一步完善了明星、经纪公司（工作室）、MCN机构等主体申请入驻微信公众号、视频号的规则，根据《微信视频号运营规范》，涉及明星艺人的打投、集资、控评、八卦、爆料等相关内容的帐号将无法创建，从源头上规范了明星网上信息。
同时，微信还表示，将继续主动引导帐号主体规范运营行为，鼓励广大用户创作积极健康、符合主流价值观的内容，对发布低俗绯闻炒作、虚假不实爆料、诱导非理性追星等内容的不良帐号进行从严处理。
11月25日消息，微信安全中心订阅号发布消息称，平台将按照《关于进一步加强娱乐明星网上信息规范相关工作的通知》要求，进一步规范娱乐明星信息的网上呈现，在帐号注册、认证、管理、信息发布、处置等环节，微信平台已经建立了严格的风险防范机制，进一步完善了明星、经纪公司（工作室）、MCN机构等主体申请入驻微信公众号、视频号的规则，根据《微信视频号运营规范》，涉及明星艺人的打投、集资、控评、八卦、爆料等相关内容的帐号将无法创建，从源头上规范了明星网上信息。
同时，微信还表示，将继续主动引导帐号主体规范运营行为，鼓励广大用户创作积极健康、符合主流价值观的内容，对发布低俗绯闻炒作、虚假不实爆料、诱导非理性追星等内容的不良帐号进行从严处理。
【分享】2021年【思维导图】盒子，C/C++，Golang，Linux，云原生，数据库，DPDK，音视频开发，TCP/IP，数据结构，计算机原理等：https://github.com/0voice/learning_mind_map
❤1
【Wallpaper Engine】安卓手机版 在本月28号29号即可通过官方下载网址下载
https://www.wallpaperengine.io/android
频道投稿：@zaihuabot
关注频道：@TestFlightCN
https://www.wallpaperengine.io/android
频道投稿：@zaihuabot
关注频道：@TestFlightCN
www.wallpaperengine.io
Wallpaper Engine on Android
Use stunning live and dynamic wallpapers to customize your Windows desktop. Animate your own images to create new wallpapers or import videos and websites and share them with others!
新东方开始在美国开设中文课程。对此一位知情人士透露，这是新东方旗下子公司北京比邻东方教育科技有限公司转型的探索，开设的是线上课程，主要教授中文课程。
骁龙8 Gen1首个联网跑分出炉
前不久，高通中国宣布，将于12月1日举行骁龙技术峰会，届时，新一代骁龙移动平台将正式发布。此前有爆料称，高通新一代移动平台将采用骁龙8 Gen1的全新命名，不再使用骁龙898的三位数规则。今日，数码博主@数码闲聊站 晒出了首个骁龙8 Gen1的联网跑分，设备型号为realme RMX3300，应该是即将发布的realme GT2 Pro，实测成绩为1025215分。
据悉，骁龙8 Gen1采用三星4nm工艺，配备1*3.0GHz X2超大核+3*2.5GHz大核+4*1.79GHz小核CPU，Adreno 730 GPU，集成骁龙X65基带。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
前不久，高通中国宣布，将于12月1日举行骁龙技术峰会，届时，新一代骁龙移动平台将正式发布。此前有爆料称，高通新一代移动平台将采用骁龙8 Gen1的全新命名，不再使用骁龙898的三位数规则。今日，数码博主@数码闲聊站 晒出了首个骁龙8 Gen1的联网跑分，设备型号为realme RMX3300，应该是即将发布的realme GT2 Pro，实测成绩为1025215分。
据悉，骁龙8 Gen1采用三星4nm工艺，配备1*3.0GHz X2超大核+3*2.5GHz大核+4*1.79GHz小核CPU，Adreno 730 GPU，集成骁龙X65基带。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
投资总额12亿 特斯拉上海超级工厂再扩建：明年4月完工
11月26日，有媒体从上海企事业单位环境信息公开平台获悉，特斯拉对上海超级工厂（一期）第二阶段的产线优化项目进行环评公示。环评报告显示，该产线优化项目投资总额高达12亿元人民币，其中环保投资8500万元，占比7.08%，预计今年12月动工，明年4月完工。
有消息人士称，该项目优化建成后，工厂将增加4000名员工，全厂员工数量将达到 19000人。
目前特斯拉遭遇产能不足，其中入门版的Model Y交付时间长达10-14周，现在下定，明年才能交付，所以扩建工厂势在必行。
频道投稿：@zaihuabot
关注频道：@TestFlightCN
11月26日，有媒体从上海企事业单位环境信息公开平台获悉，特斯拉对上海超级工厂（一期）第二阶段的产线优化项目进行环评公示。环评报告显示，该产线优化项目投资总额高达12亿元人民币，其中环保投资8500万元，占比7.08%，预计今年12月动工，明年4月完工。
有消息人士称，该项目优化建成后，工厂将增加4000名员工，全厂员工数量将达到 19000人。
目前特斯拉遭遇产能不足，其中入门版的Model Y交付时间长达10-14周，现在下定，明年才能交付，所以扩建工厂势在必行。
频道投稿：@zaihuabot
关注频道：@TestFlightCN