==== 资安双周报 (250501) ==== 本来想放假 想想还是发个文好了 - 有潜力的 IoT BOT CVE - 到底要不要听官方建议 - 满分十分! - 你的档案就是我的档案 ## ======== 有潜力的 IoT BOT CVE ======== ## 根据业者发现[0] FastCGI 存在一个可 RCE 的安全性漏洞 (CVE-2025-23016) 原因是不正确的参数 (FCGX_Stream) 处理 导致 stackoverflow 有机会控制其他资料结构 进而执行任意指令 CVSS3 分数为 9.3 此函式库大量使用在资源受限的轻量服务 在未启用 PIE 情况下 业者的 PoC 可以获得 remote shell ## ======== 到底要不要听官方建议 ======== ## 研究人员发现[1] 知名 Python 套件 PyTorch 存在 RCE 漏洞 (CVE-2025-32434) 当 weights_only=True 启用时 使用 `torch.load` 有机会造成 RCE 但在官方正式文件中 建议使用 上述两个 配置来提升安全性 ## ======== 满分十分! ======== ## 研究人员发现[2] Erlang/OTP 存在一个 CVSS3 10 分的安全性漏洞 (CVE-2025-32433) 所有安装问题版本的使用者 皆受到漏洞的影响 问题本身让攻击者不授权的情况下可以执行任意指令 ## ======== 你的档案就是我的档案 ======== ## 知名 NAS 业者的安全性公告[3] 系统中的存在一个可任意读的安全性漏洞(CVE-2025-1021) 当 NFS 设定不当时 元件 synocopy 可以让攻击者读取任意档案 [0]: https://401.tw/TYA9 [1]: https://github.com/pytorch/pytorch/security/advisories/GHSA-53q9-r3pm-6pq6 [2]: https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2 [3]: https://www.synology.com/zh-tw/security/advisory/Synology_SA_25_03 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 218.164.16.219 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/NetSecurity/M.1746063809.A.9E2.html