知識星球外媒 Bleepingcomputer 報導稱使用 Qt5 GUI 框架開發的應用程式容易面臨遠端程式碼執行漏洞。攻擊者透過一個鮮為人知的命令列引數配置自定義協議處理程式，就可利用這個漏洞。 許多開發者並不知道當使用 Qt5 框架時，它還添加了可用於修改框架工作方式的命令列引數，例如要顯示的視窗標題、視窗大小，甚至是圖示。這些命令列引數會被傳遞給初始化 Qt 框架的函式，然後在其中對它們進行解析。
上文所說的鮮為人知的命令列引數是 platformpluginpath 命令，用於指定從哪個檔案夾載入 Qt5 外掛，可以是本地檔案夾，或者是遠端 UNC URL。
當將此引數提供給程式時，程式將使用已輸入的路徑載入程式的 Qt 外掛，這些外掛是由框架載入以擴充套件其功能的特製 DLL 程式。
這意味著，如果攻擊者在遠端 UNC 上託管惡意 DLL 並且可以使用 platformpluginpath 引數啟動程式，則他們可以遠端載入 DLL 並執行它，從而進行遠端程式碼執行。
不過由上面也能看出，攻擊者要發起這樣的攻擊需要具備三個要素：
尋找一個基於 Qt5 框架的 GUI 應用程式
載入 Qt5 外掛
註冊自定義的 URI 處理程式
當然這不是說我們可以因此放鬆警惕，為了緩解這種型別的攻擊，應用程式需要清理命令列引數，以避免遠端共享。
*來源：開源中國
更多資訊
◈ 微軟終於知道使用者不習慣點選“安全刪除硬體”
微軟所打造的Windows 10系統不僅是非常實用的生產力工具，而且在使用者的反饋和建議下不斷滿足使用者的需求來解決現實問題。近日外媒ZDNet發文稱微軟正希望最佳化Windows系統處理外部儲存裝置的預設使用方式。目前在Windows系統中，如果將資料寫入到例如隨身碟等外部儲存裝置中共有兩種方式：一種為快速刪除（Quick Removal），還有一種為更好的效能（Better Performance）。
來源：cnBeta.COM
詳情：http://t.cn/E6GZzU7
◈ PHP 7.1.28、7.2.17、7.3.4 釋出，主要是安全更新
PHP是一種通用開源指令碼語言。語法吸收了C語言、Java和Perl的特點，利於學習，使用廣泛，主要適用於Web開發領域。PHP 獨特的語法混合了C、Java、Perl以及PHP自創的語法。它可以比CGI或者Perl更快速地執行動態網頁。近日釋出了三個更新版本，這三個版本主要都是安全方面的更新。
來源：開源中國
詳情：http://t.cn/E6GZ2iG
◈ Epic CEO否認商城是間諜軟體 再次解釋和騰訊的關係
Epic商城遭受的眾多指責中，可能最怪異的一條就是認為它是一個間諜軟體。對此Epic CEO Tim Sweeney再次在Twitter上進行了澄清，解釋了和騰訊之間的關係。他說：“我支援任何人對技術工業產生懷疑的權利。有獨佔遊戲、功能欠缺的Epic商城，很容易成為玩家攻擊的標的，但還請大家在事實與謊言之間明辨是非，我們的商城並不是所謂的間諜軟體，也不受國外控制。”
來源：3DMGame
詳情：http://t.cn/E6GZ4C8
◈ Python 之父再度發聲：我們能為中國的“996”程式員做什麼？
一週前，當 996.ICU 的 GitHub repo 火速在網際網路廣泛傳播時，Python 之父 Guido van Rossum 就在其推特轉發了南華早報關於中國程式員 996 工作制的新聞報導，認為 996 工作制是不人道的，並且 star 了 996.ICU 的 GitHub repo。
來源：開源中國
詳情：http://t.cn/E6GZt2t
（資訊來源於網路，安華金和蒐集整理）
