根据最新的网络安全报告，微软近日发布了针对Edge浏览器的关键安全更新，以解决多个安全漏洞，其中包括一个严重的验证缺陷，该缺陷可能允许攻击者在受影响的系统上执行任意代码。这次更新于2024年8月1日发布，修复了Microsoft Edge版本127.0.2651.86之前的三项重要漏洞：

• CVE-2024-7256：Dawn组件中的数据验证不足（高危）
• CVE-2024-6990：Dawn组件中的未初始化使用（关键）
• CVE-2024-7255：WebTransport特性中的越界读取（高危）

其中最为严重的是CVE-2024-7256，它是Dawn图形组件中的一个验证缺陷，可能使攻击者在受害者的系统上执行任意代码。这一漏洞由一位名为“果冻布丁”的安全研究人员于2024年7月23日报告。

微软对此次更新的第二个漏洞CVE-2024-6990给予了“关键”的严重性评级。该漏洞涉及Dawn组件中的未初始化使用，可能导致越界内存访问。第三个漏洞CVE-2024-7255则影响WebTransport特性，可能允许攻击者执行越界内存读取操作。

这些安全问题影响在Windows、macOS和Linux操作系统上运行的Microsoft Edge版本。用户被强烈建议尽快将其浏览器更新至最新版本（127.0.2651.86或更高版本），以减轻这些风险。

对于更新Microsoft Edge，用户通常可以依赖该浏览器的自动更新功能。然而，用户也可以通过进入浏览器的设置手动检查更新。需要注意的是，Microsoft Edge的增强安全模式特性可能对这些漏洞提供某些保护，用户被鼓励启用这一特性以加强安全性。

用户在浏览潜在恶意网站或与可疑内容互动时，必须始终保持软件更新，并保持警惕。随着网络威胁的不断演变，采取预防措施显得尤为重要。

近年来，一系列与安全相关的事件表明，围绕软件和硬件的安全性问题依然是网络安全的重中之重。根据网络安全专家的分析，这类漏洞不仅在个人用户中产生威胁，亦可能对企业和机构的安全造成深远影响。

例如，早前的一项研究苹果iOS和macOS中的漏洞 backdoor及其对用户安全的潜在影响，引发了业界的广泛关注。针对不同操作系统的安全性分析应当更加深入，以发现潜藏的安全隐患。

此外，用户在使用现代软件时，还应注意其更新记录及发布的安全补丁。这表明软件制造商对于安全的重视程度，以及他们应对潜在威胁的能力。

Ubuntu打印漏洞让攻击者能够在锁定的笔记本电脑上执行任意代码

近期在Ubuntu 22.04的打印子系统中发现了一项漏洞，特别是在“ippusbxd”包中，该漏洞可能使攻击者能够在锁定的笔记本电脑上执行任意代码。然而，现代编译器特性介入后，降低了这一风险，防止了利用可能性，导致的影响也仅限于系统崩溃。

这一漏洞的发现是在对macOS打印子系统的代码审计中进行的，该子系统与开源的CUPS包有着共同基础。Talos的研究人员集中关注IPP-USB协议，该协议允许通过互联网打印协议（IPP）进行网络打印。负责处理Ubuntu 22.04中IPP-USB功能的“ippusbxd”包成为了调查的重点。

在检查代码时，编译器的一个警告被触发，标志着可能存在的缓冲区溢出漏洞，位于get_format_paper函数中。该函数解析打印机在初始化过程中报告的纸张尺寸信息。漏洞的根源在于使用strncpy时，其长度参数源自于源操作数的长度，而非目标缓冲区的大小。

攻击者可以通过连接报告异常大介质尺寸的恶意打印机来利用这一漏洞，从而导致缓冲区溢出。Talos的Aleksandar Nikolich确认了这个漏洞，他通过分析代码上下文发现，特别构造的“media-size-supported”负载能够覆盖堆栈缓冲区。

在锁定的笔记本电脑上利用这一漏洞可能会授予攻击者以提升权限执行任意代码的能力。为验证该漏洞的潜力，研究人员开发了一种概念验证（PoC）攻击方法，利用树莓派Zero模拟USB打印机。Linux USB Gadget API使得创建自定义软件定义USB设备成为可能，通过修改PAPPL打印机设备，模拟的打印机被配置为通过一个名为“EXPLOIT_STRING”的环境变量报告恶意介质尺寸。

一旦将树莓派Zero连接到目标Ubuntu机器，ippusbxd守护进程将因段错误崩溃，确认了漏洞的触发。然而，对于崩溃的更深入分析则揭示，意图中的内存损坏及潜在代码执行被名为“FORTIFY_SOURCE”的编译器特性所阻止。

这一特性会自动将潜在不安全的函数替换为更安全的替代方案，在线程发生条件溢出之前检测到该缓冲区溢出情况。漏洞的影响被限制为导致系统崩溃，因程序在检测到溢出时会显式终止。

研究人员强调，这一事件突显了现代编译器特性如静态分析和强大缓解技术（如“FORTIFY_SOURCE”）的重要性。当这些功能默认启用时，可以有效防止漏洞的利用。此外，该事件还强调了在开发过程中积极处理编译器警告的价值。

在此情况下，漏洞潜在影响进一步降低是由于“ippusbxd”包已被“ipp-usb”包取代。新的包在内存安全语言中实现，消除了缓冲区溢出的风险。尽管Ubuntu 22.04作为长期支持版本，仍需留意这一点，新版本已逐渐过渡到使用“ipp-usb”。

对于Ubuntu 22.04 LTS用户的建议包括：确保安装ipp-usb，并删除存在的ippusbxd；所有系统应通过执行sudo apt update && sudo apt upgrade并重新启动打印服务来应用更新，同时在物理安全方面限制USB设备的连接，以防止未经授权的硬件连接。

在持续的网络安全环境演变中，用户和开发者都应该保持警惕，切实采取措施确保系统安全，以降低潜在的网络风险和威胁。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课