🔴 今日漏洞总结。

php [1]：RCE。请更新至 8.5.12/8.4.27/8.3.36/8.2.35。
Node.js [2]：RCE。请更新至 26.12.1/24.22.1/22.23.4。
eMudhra 证书 [3]：或可导致 MitM。请注意停用受影响证书、检查浏览器更新及更新 ca-certificates 等相关组件。测试方法和修复版本参见 [3]。
TiDB 云被骇 [4]：有用户元信息被泄露；但目前没有数据库数据泄露的证据。

1. php.net/~2. nodejs.org/~3. emudhra.we-have-a-problem.com/4. pingcap.com/~
#wtf #today #PHP #Nodejs #PKI #PingCAP
Telegram 原文

🔴 eMudhra TLS 根证书被吊销，原因是私钥过于简单以致被泄露。

- 主流浏览器厂商现应已废除这些根证书。不确定的订户可以在 [1] 测试。
- 操作系统、软件等由于自行提供 CA 库，可能需要手动更新 ca-certificates 等组件；订户可参考 [1] 文末的信息。
- 过于简单的意思是一般有 384 bit 的私钥只有 8 个 bit 有效（也就是值小于 256）。

（编者注：配图来自 xkcd.com/221/ 。）
（编者再注：今日较早前提到的 PHP 漏洞问题也极其严重；建议 PHP 网站主在 PHP 发布修复后立即更新。）

emudhra.we-have-a-problem.com/
#PKI
Telegram 原文

[旧闻] Google 发现 .gh/.sl/.as TLD 被劫持；骇客借此签发了未授权的 Google 网站证书。

blog.google/~
#TLD #PKI #Google
Telegram 原文

伊朗银行网站 TLS 证书由于制裁命令被美国 CA 吊销。

- 例如 Saman Bank (sb24.ir)。
- 伊朗政府等其它伊朗网站的 TLS 证书也受到影响。

digiato.global/~seealso: HackerNews:49701104
#IR #PKI
Telegram 原文