联想和技嘉服务器固件发现可利用的漏洞

Eclypsium 的研究人员披露了联想和技嘉服务器所使用的 BMC 固件发现的漏洞。该漏洞可用于向固件植入恶意程序，使其难以探测或在硬盘格式化后仍然存在。但要利用漏洞，攻击者需要已经拥有管理员权限。漏洞存在于 Vertiv 的 MergePoint EMS 基板管理控制器（BMC）固件内，该产品被用于联想的服务器产品和技嘉的服务器主板。研究人员在 2018 年 7 月报告给了联想，11 月联想释出了补丁；今年 3 月又在技嘉的主板相同固件内发现了漏洞。研究人员发现了两个问题，其一时固件更新前没有执行加密签名检查，因此可被攻击者安装恶意固件；其二是 shell 命令注入漏洞。Media

https://www.solidot.org/story?sid=61408

Raspberry Pi 4 需要散热器

刚刚发布的 Raspberry Pi 4 的性能比上一代有巨大提升，号称有入门级 PC 的水平，但它也被发现了一些问题，其中之一就是散热。前几代 Raspberry Pi 单板都没有配备散热器或芯片风扇，但这一代性能上的提升带来了散热问题。在正常工作负荷下，单板的 SoC 温度就达到了 60 度，使用 USB 端口后温度达到了 60 到 70 度。如果执行一些 CPU 密集的工作，SoC 很快会出于保护目的而降低性能。Raspberry Pi  单板主要用于 DIY ，用户可以自己给它配一下散热器或风扇。Media

https://www.solidot.org/story?sid=61409

京都动画公司纵火案已致33人死亡

匿名读者 写道 "据媒体报道，当地时间18日上午10点半左右，日本京都动画公司在京都府伏见区的第一工作室发生火灾。截至目前，已经导致33人死亡，数十人受伤，该工作室被全部烧毁。现场共有35辆消防车参与灭火。燃烧约5个小时后，火焰在当地时间下午3点19分左右几乎全部扑灭。日本警察厅表示，这起事件是平成时代以来，纵火案中遇难人数最多的。警方说，一名男性嫌疑人在纵火后曾企图逃离现场。工作室工作人员在其身后追赶。警察在距离火灾现场数十米处扣住了他，确认身份后将其控制。此人随后被送院治疗，暂时确认二度烧伤。另据NHK报道，警方还在案发现场发现了多个刀具，但目前尚不确定这些刀具是否属于纵火男子。"Media

https://www.solidot.org/story?sid=61410

中国运用大数据构建信用监管

中国宣布将利用大数据构建信用监管。发改委副主任连维良指出，传统监管模式对所有监管主体平均用力，监管成本高，市场主体压力大，受干扰多。以信用为基础的新型监管机制按照市场主体信用状况采取差异化的监管措施，对信用较好、风险较低的市场主体，降低抽查比例和频次；对违法失信、风险较高的市场主场，适当提高抽查比例和频次，列入重点信用监管范围，使监管力量好钢用在刀刃上，对诚信守法者 “无事不扰”，对违法失信者 “利剑高悬”...Media

https://www.solidot.org/story?sid=61411

哈萨克斯坦对所有 HTTPS 流量发动中间人攻击

从 7 月 17 日开始，哈萨克斯坦发出通知要求所有设备所有浏览器安装来自政府的 Root CA（qca.kz），这意味着该国 ISP 可以对所有 HTTPS 加密流量发动中间人攻击。HTTP 是明文传输，ISP 可以实时查看传输的内容，可以随时向 HTTP 流量插入信息比如广告；HTTPS 加密了客户端和服务器端之间的连接，使得 ISP 无法获悉传输的内容，但利用 Root CA 它可以伪造证书，解密加密的流量，发动中间人攻击。用户呼吁浏览器开发商如 Mozilla 和 Google 将哈萨克斯坦的 Root CA 加入到黑名单拒绝接受它的证书。已有证据显示，qca.kz 签发了 Facebook 的证书。Media

https://www.solidot.org/story?sid=61412

中国科学家发现首个细胞核内 DNA 免疫识别受体

南开大学的研究人员发现了首个细胞核内 DNA 免疫识别受体。论文发表在《科学》期刊上。被称为 hnRNP-A2B1 的受体分子，能够在细胞核内特异性地识别病毒 DNA，随后激活天然免疫信号通路和诱导干扰素产生，启动天然免疫应答反应以清除 DNA 病毒的感染。该工作开辟了天然免疫与炎症研究领域的新方向。免疫，是一种重要生理功能，机体依靠这种功能识别 “自己” 和 “非己”，破坏和排斥入侵的病毒等病原物质，维持自身稳定。经过多年探索，科学家们在识别外源病原体 DNA 的分子机制及其抗病毒免疫研究上取得长足进展。目前发现的能够识别病毒 DNA 的天然免疫受体都存在于细胞质中。Media

https://www.solidot.org/story?sid=61413

美国议员要求调查俄罗斯的 FaceApp

FaceApp 过去几天在社交媒体上引发了热议，它的滤镜能把人的面容变老，人们纷纷分享了他们变老后的照片。但该应用也引发了隐私方面的担忧，一个原因是它来自俄罗斯。美国参议院民主党领袖 Chuck Schumer 致函 FBI 要求对美国公民的个人资料可能落入 “敌对外国势力” 手中展开调查。FaceApp 由总部位于圣彼得堡的俄罗斯公司 Wireless Lab 研发，储存用户照片的服务器位于美国。该公司否认会收集用户的数据，称它只上传用户指定的照片到云端处理，而且不会永久保存，会在上传的 48 小时后删除。Media

https://www.solidot.org/story?sid=61415

Dropbox 为部分用户更新了新的“文件管理器”

Dropbox 上个月宣布将向用户提供“全新的桌面体验”，现在部分用户通过社交媒体报告，他们体验到“新桌面体验”——文件同步应用变成了文件管理器。用户报告他们的软件被悄悄升级为一个完全不同的版本。新的版本包括了文件管理器的相同功能，比如文件搜索，按日期或名字排序，可以执行剪切、复制和粘贴操作，它的界面提供了多个面板和窗口，与之前的简约版本大相径庭。Dropbox 承认这是失误，新的版本现在是 Early Access，但由于一个错误部分没有参与 Early Access 的用户推送到了新的版本，问题现在已经解决，它对给用户造成的不便表示歉意。Media

https://www.solidot.org/story?sid=61414

奥克兰成为美国第三个禁止公共场所使用面部识别的城市

在旧金山、麻省萨默维尔之后，奥克兰成为美国第三个禁止公共场所使用面部识别的城市。市议会通过法令禁止该市获取或请求访问面部识别技术，而面部识别技术的定义是通过自动或半自动化的过程，根据一个人的脸部图像识别或验证其身份。根据市议会议长 Rebecca Kaplan 的一份公开的备忘录，禁令是基于这些事实：面部识别技术通常并不精确、缺乏既定道德标准、有侵入性，以及政府很容易滥用这项技术。Media

https://www.solidot.org/story?sid=61416

保加利亚国家收入署被窃的数据库在黑客论坛分享

一位神秘黑客上周末入侵了保加利亚国家收入署，下载了其数据库，然后将下载链接发送给了本地新闻机构。保加利亚内政部已经证实了这起黑客入侵事件。根据黑客透露给当地媒体的信息，他窃取了超过 500 万保加利亚人的个人信息。保加利亚全国人口只有 700 万。黑客从国家收入署下载了 110 个数据库，容量接近 21 GB，黑客分享了 57 个数据库，容量约 11 GB。泄露的信息包括姓名、个人识别号码 ((PINs)、家庭住址和财务收入。大多数信息都是旧的，可上溯到 2007 年，但也发现了较新的数据库条目。在黑客论坛 Instakilla 分享的文件容量约 10.7 GB，包括了 57 个文件夹，与当地媒体收到的数据库一致。Media

https://www.solidot.org/story?sid=61417

Deep TabNine 帮助开发者自动完成代码

TabNine 的开发商推出了新的深度学习模型 Deep TabNine，能显著改善代码建议质量。TabNine 是一个代码自动完成工具，能在开发者输入代码时预测其余的代码，它支持 23 种编程语言和 5 种代码编辑器。Deep TabNine 使用了 GitHub 上的两百万文件训练，学习动态类型语言中的复杂行为如类型推动，预测标记。它能根据自然语言写的文档推测函数名、参数和返回类型。Deep TabNine 是基于 OpenAI 开发的 GPT-2。Media

https://www.solidot.org/story?sid=61418

<b>中国科学家释放 2 亿不育蚊子消灭了两个岛屿的蚊群</b>

中国科学家向广州的两个岛屿释放了<a href="https://www.scmp.com/news/china/science/article/3019028/chinese-scientists-new-technique-wipe-out-mosquito-populations"> 2 亿失去生育能力的雄性蚊子，基本消灭了岛屿上的蚊群。研究报告发<a href="https://www.nature.com/articles/d41586-019-02000-0">表在《自然》期刊上。蚊子是疟疾等疾病的主要传播媒介，这些疾病每年导致了数百万人死亡，让蚊子绝育是一种阻止其传播疾病的方法。科学家向登革热疫情严重的广州沙仔岛和大刀沙释出了两亿多雄性亚洲虎蚊，这些蚊子通过短暂的暴露在伽玛射线下，感染三种不同的沃尔巴克氏体细菌，而失去了繁殖能力。雄性蚊子还喂养了糖，使其更大更强壮，在交配季更能吸引雌性蚊子，与这些雄性交配后的雌性产下的卵不会孵化。两年的实验之后野生蚊群基本消失。研究人员发现了岛上还生活着一些蚊子，但基因分析显示它们来源于其它地方，很可能是通过交通工具来到岛上的。岛民一开始对这项实验持怀疑态度，沙仔岛只有 13% 支持。虽然特别喂养的蚊子不会咬人，但岛民们对释出如此多的蚊子还是感到很不舒服。但在实验结束之际，持支持立场的人数大增，原因之一是被蚊子叮咬的记录下降了 96%。一位旅馆店主称，以前蚊子是如此之多，他们在午后都不敢在外面逗留太长时间。这项技术简直是奇迹，我们过去是怀疑，现在都拥护了。

https://www.solidot.org/story?sid=61419

如果保存的密码出现在泄漏数据库内 Firefox 将发出警告

从 Firefox 70 开始，如果浏览器保存的登录信息出现在已暴露数据库内 Mozilla 将会发出警告。该功能是 Mozilla 与 Have I Been Pwned 网站合作的成果。Mozilla 此前已经推出了使用 Have I Been Pwned 数据的独立服务 Firefox Monitor，它正缓慢整合这项服务和新的密码管理器 Firefox Lockwise 到 Firefox 中。Mozilla 还在考虑通过引入更多增值功能推出付费版本。作为整合的一部分，Firefox 将扫描所有保存的用户名和密码，查询 Have I been Pwned 观察是否出现在泄漏数据库内，如果匹配 Firefox 将会警告用户并建议修改密码。Media

https://www.solidot.org/story?sid=61420

英特尔承认芯片工艺技术升级滞后

英特尔 CEO Bob Swan 承认该公司芯片技术升级上出现重大失误，给了竞争对手机会。英特尔原计划在 2015 年推出 10 纳米芯片（技术上等价于台积电/三星的 7 纳米工艺），但一直到今年下半年才可能推出。Bob Swan 称，“从某种程度上说，（这种延迟）是我们过去的成功导致的，我们一直在成功地挑战困难。有一段时间，情况越来越艰难，我们却设定了越来越激进的目标。因此花费了太多时间。”他说：“总而言之，我们从中学到了一课。” 他说，下一代生产升级将在大约两年内完成。Media

https://www.solidot.org/story?sid=61421

PyPI 软件仓库发现三个后门库

安全公司 ReversingLabs 扫描了 Python Package Index (PyPI) 内的一百多万个库，发现三个后门库。这三个库 libpeshnx、libpesh 和 libari 都来自同一位作者、用户名 ruri12，上传时间是 2017 年 11 月，至今接近两年时间。PyPI 团队在收到通知后就移除了这三个库。三个库都没有描述，其用途难以区别。PyPI 的统计数据显示它们每个月有数十次安装。它的后门机制只在库安装到 Linux 系统后激活，后门允许攻击者向安装这三个库的计算机发送和执行指令。三个库中只有 libpeshnx 的后门是活跃的，其余两个恶意功能的代码是空的。Media

https://www.solidot.org/story?sid=61422

越南避免使用华为 5G 设备

越南主要的移动运营商被注意到正尽可能的避免采用华为 5G 设备。主要移动运营商已经在寻求与爱立信和诺基亚而不是华为进行 5G 合作。其中规模最大的越南电信目前的 4G 网络也没有使用华为的设备，不过该公司在柬埔寨、老挝和秘鲁等国的子公司在 4G 服务中使用了华为的技术。越南电信说，这都并不能说明这家由越南政府拥有的公司正在回避华为。越南电信副总经理汤陶德在接受采访时表示，河内从未禁止越南的电信商使用中国设备。“对于华为来说，越南并不是一个有力的 4G 市场，我们对那里的 5G 发展设想有限，” 华为发言人乔・凯利 (Joe Kelly) 说。Media

https://www.solidot.org/story?sid=61423

天宫二号受控再入大气层

天宫二号空间实验室于北京时间 2019 年 7 月 19 日 21 时 06分 受控离轨并再入大气层，少量残骸落入南太平洋预定安全海域。官方报道称：天宫二号自 2016 年 9 月 15 日发射入轨以来，先后与神舟十一号载人飞船和天舟一号货运飞船完成 4 次交会对接，成功支持 2 名航天员在轨工作生活 30 天，成功掌握了航天员中期驻留、推进剂在轨补加等一系列关键技术，并在超期服役的 300 多天里，完成多项拓展试验，为中国空间站研制建设和运营管理积累了重要经验。中国计划在 2020 年前后建造新空间站。Media

https://www.solidot.org/story?sid=61425

华为称鸿蒙 不是为替代 Android 设计的

华为仍然想要在智能手机上使用 Google 的 Android 操作系统。公司高管称，它自主研发的鸿蒙系统不是为替代 Android 设计的。鸿蒙设计用于工业使用，代码行数远少于手机操作系统，有着更低的延迟，能在几乎没有延迟的情况下处理大量数据信息。鸿蒙事实上是为物联网设计的，该公司还没有决定是否将其作为智能手机系统使用。在美国对华为实施出口禁令之后，华为的官员一度声称将会推出搭载鸿蒙的手机。如今美国对华为放宽了出口禁令，华为应该可以继续使用包含 Google 服务的 Android 系统。Media

https://www.solidot.org/story?sid=61426

俄罗斯议员想要所有手机计算机预装特定国产软件

根据一项法律草案，俄罗斯议员计划强制性要求所有在俄销售的智能手机、计算机和智能电视预装特定国产软件。法案已递交到议会下院，它将允许当局制定一个强制性预装的国产软件名单。如果法案通过的话，它将于 2020 年 7 月生效。美国的苹果、韩国的三星和中国的华为统治了俄罗斯的手机市场。法案规定，如果在俄罗斯销售设备的公司没有预装俄罗斯的软件，那么该公司将会面临 5 万到 20 万卢布的罚款。Media

https://www.solidot.org/story?sid=61427

Chrome 76 将防止纽约时报等网站探测隐身模式

越来越多的新闻网站开始采用付费订阅模式，但它们没有完全关闭免费阅读之门，这些网站通常会允许读者免费阅读 3 到 5 篇文章，超过限额之后就会要求读者付费订阅。但读者们很快发现了一个漏洞，他们可以在浏览器的隐身模式下访问网站绕过阅读文章计数，从而可以无限量的阅读感兴趣的文章。但网站也很快找到反制方法，利用了 Chrome 的一个设计缺陷识别用户是否启用了隐身模式。按照设计，Chrome 的 FileSystem API 在隐身模式下被禁用了，以防止在设备上留下痕迹。因此网站会尝试调用 FileSystem API，如果返回错误信息，那么可以确定浏览器是在隐身模式下。从即将发布的 Chrome 76  起，Google 将修改 FileSystem API 的行为防止网站利用它探测隐身模式。但堵上一扇门也可能意味着另一扇门的关闭。如果新闻网站无法计算读者阅读的免费文章数量，它们可能会选择关闭免费阅读。Media

https://www.solidot.org/story?sid=61428