登录
首页/综合

跑路

19319
  • 楼主 编辑于

    让我们想象一下你司架构是 NGINX v1.23.0 作为边缘节点，后面挂着 PHP-FPM 7.3 (刚花了几周时间从 5.6 升级上来) 的源站 + 企业新官网刚刚用 Next.js 16.0.7 App Router 翻新了一下 + 企业旧官网挂在 WordPress 上 + 前段时间刚花了大价钱采购来的 TiDB NewDB + Node.js 24 LTS Brotli 中间件，开启了 Brotil 压缩功能、Go 作为对外访问的网络沙箱、公司维护的 Rust 软件使用了 Cranelift WASM 打包、使用 Python + LiteLLM AI 企业内部 Harness 工具 (CI 昨晚刚从 PyPI 拉了新包并推送到了生产环境，现在全公司电脑都装上了这套 Harness)、公司服务器全部跑在 Linux 内核 c6e50df8 之前、网站的 HTTPS 证书由公司前段时间刚采购的无保险低价 Sectigo DV 证书（还没上 ACME 自动签发）、公司的 Vyper 智能合约部署在 Docker 29 + Kubernetes + Traefik Ingress 上开着 mTLS fail-open，宿主机还跑着 ASP.NET Core 面板和 .NET 本地服务、公司的软件和外发机密文件通过 emSign 代码签名，根证书库用 Go crypto/x509 + Rust webpki-roots + Python certifi，正准备拉补丁结果发现 GitHub 又双 502 了，正想推一下 CI 发现公司 GitLab 被国内某未成年脚本小子用 ARTEX + opencode 里免费的 dpsk v4.1 flash 利用 PVE 7.4 漏洞一键横向渗透打穿了。

    而你，是这家公司的核心 on-call 运维。
    作为人类，请你用两个字告诉我你现在最想做的策略是什么（个人：完全无法短时间做到以上所有 patch，心理：人无法承受太多压力，倾向：公司只是利益关系，利己为先）

    99925cf0ef63df24fc31f7a9d7bd1e58.webp

    Node.js：8 个 CVE，4 个 high，含一个 RCE

    Node.js：8 个 CVE，4 个 high，含一个 RCE
    修复版：v22.23.4 / v24.22.1 / v26.12.1

    CVE 严重度 问题
    CVE-2026-111497 high Brotli 解码器越界写 → 远程代码执行（26/24/22 全中）。发个恶意 brotli 压缩 body 给 Node HTTP 服务就可能打穿
    CVE-2026-105482 high dns.resolve 截断含 NUL 的主机名 → 解析到错误主机（SSRF 绕过的经典套路）
    CVE-2026-105483 high TLS 证书校验绕过：IP 写成全角数字时 hostname 校验失效（26/24）
    CVE-2026-106069 high TLS 证书校验绕过：host 能 "松散解析" 成 IP 时，DNS SAN 可以冒充 IP 端点（26/24/22）
    CVE-2026-105481 medium keep-alive socket 会把请求发出前写好的响应发出去 → 跨请求响应混淆
    CVE-2026-106072 medium 非规范 IPv4 hostname 校验证书不当
    CVE-2026-106074 medium crypto.randomUUID()/randomInt() 的熵缓存被写进 SEA 快照 → 每个进程重复同一批值（要命的可预测性）
    26.x 专属 low low Permission Model 通配 radix 过授权、fs.realpathSync 绕过
    顺带更新了 c-ares、OpenSSL、SQLite、undici，还有 ca-cert（eMudhra 中间 CA 被攻破）——这个值得留意，根证书信任链动了。

    nginx

    nginx
    CVE-2026-15176 缓冲区溢出 alias 指令配合 rewrite 指令，且请求 URI 被改写后映射到文件路径 工作进程崩溃，特定条件下可能远程代码执行
    CVE-2026-93479 缓冲区溢出 在 http 和 stream 模块中求值包含变量的字符串表达式时 文档根计算与请求日志记录受影响，可导致崩溃或潜在代码执行
    CVE-2026-97205 释放后使用（Use-after-free） 同时使用异步文件 I/O（AIO）与 SSI 的 include virtual 指令 内存破坏、进程崩溃，理论上可导致代码执行
    CVE-2026-95101 请求体注入 使用 HTTP/3 时，未知帧的一部分可能被当作请求体 可绕过 client_max_body_size 限制，或向代理请求中注入数据
    CVE-2026-97629 会话伪造 使用 TLS 会话票据密钥轮换时，其中一个密钥未被初始化 攻击者可能伪造 TLS 会话

    Apache Tomcat

    Apache Tomcat 认证绕过漏洞
    CVE-2026-101296：当 Tomcat 的 JNDI Realm 配置使用非 GSSAPI 的 SASL 认证机制时，存在认证步骤缺失的漏洞，允许攻击者在不提供正确密码的情况下通过认证。

    Go 中间证书信任漏洞

    Go 中间证书信任漏洞 (CVE-2026-111943)
    CVE 编号

    CVE-2026-111943
    利用情况

    暂无
    补丁情况

    N/A
    披露时间

    2026-10-21
    漏洞描述
    Go 是开源编程语言，标准库 crypto/x509 提供 X.509 证书解析与信任链校验，TLS 客户端默认通过 Certificate.Verify 判断对端证书是否可信。
    受影响版本中，Certificate.Verify 使用 opts.Intermediates 构建到信任锚的证书链后，不会过滤含有已被撤销中间证书的路径。这些中间证书私钥已泄露且证书已撤销，但 Linux 系统根存储无法把撤销状态传播到应用；攻击者使用对应中间证书签发任意域名的 TLS 证书并提交校验时，Verify 仍会把该链返回给调用方，使目标应用把攻击者控制的证书视为可信。
    修复版本中通过在 Verify 过滤候选链时调用 containsDistrustedSPKIHash，按 SHA-256 SPKI 哈希拒绝一组不受信任中间证书；命中时从返回结果中删除该链，Darwin 与 Windows 的 systemVerify 同步执行相同过滤，使这些中间证书无法再作为有效信任路径返回。
    解决建议
    将组件 go 升级至 1.27.3 及以上版本
    将组件 go 升级至 1.26.10 及以上版本

    PHP

    PHP
    CVE-2026-109618 通过内存耗尽（OOM） 导致的代码执行
    CVE-2026-109619 通过全局状态残留（Stale Global State） 导致的代码执行

    好了，来不及悼念各种编程语言了，现在轮到浏览器了

    如果存在红色请更新浏览器版本，否则可能会导致你打开的网站被换为虚假的高仿网站
    检测网站：https://emudhra.we-have-a-problem.com/#check

    收藏支持反对打赏

19 条回复

发表回复