==== 資安雙週報 (250315) ====
初一十五除了呷菜喔外 也要關心一下安全圈的消息
- 來用 tar 執行指令吧
- By Design?
## ======== 來用 tar 執行指令吧 ======== ##
Vim 發出安全性通知[0]
在 9.1.1164 以前版本存在一個 CVSS 7.1 的 CE (Code Execution) 的安全性問題
問題來在 tar.vim 的輸入檢查不嚴謹 造成惡意的 tar 有機會讓 Vim 執行任意指令
## ======== By Design? ======== ##
根據研究者的發現 [1] 一個站市場多數的 By ESP32 晶片存在一個後門(?)
根據文章顯示 攻擊者可以透過未公開的指令 繞過安全機制
因為價格與市場機制 這個晶片廣泛用於 IoT 設備
而在後續官方發表澄清聲明[2]表示 上述的機制是一個僅開發人員使用的指令
本身無法遠端執行 (無法透過藍芽、無線或者網路觸發)
[0]: https://github.com/vim/vim/security/advisories/GHSA-wfmf-8626-q3r3
[1]: https://401.tw/usxr
[2]: https://401.tw/HYDi

推

發表者也沒說可以執行什麼指令，這樣叫後門？