今天有人提到 Lasse Collin 对于 xz 项目早就疲惫不堪，Jia Tan 是极少数愿意真正贡献代码的“开发者”，这都是这场悲剧不可或缺的背景条件。

在无人关心的角落，Florian Westphal 最近辞去了内核 netfilter co-maintainer，所以现在 nf 只剩 Pablo Neira Ayuso 一人维护。这可是无数人每天使用的 netfilter。

在无人关心的角落，我最爱的工具之一 strace 依然只由一个捷克人 Dmitry V. Levin 默默维护。

在无人关心的角落，tcpdump/libpcap 在由 the-tcpdump-group 持续更新，其中一位 Denis Ovsienko 的自我介绍是 sometimes I work jobs for living, sometimes I contribute pro bono to free and open source software projects, often I do both，给人一种很孤独的感觉。

在无人关心的角落，bash group 只有三位 active members，其中一位 Bob Proulx 有个古典博客，里面有记录他和妻子的平静生活。

我以前赞美人月神话，但我现在更关心默默无闻的开发者们，就像 vim 作者 Bram Moolenaar 一生没有和任何人建立亲密关系，我只想问，你这一生过得开心吗？

你们这些伟大的开发者们过得开心吗？

0 Day 安全提醒: Telegram Desktop <=4.16.4 有自动执行代码漏洞

消息来源:
https://t.me/strykerapp/453
https://t.me/exploitorg/30

后续: https://vxtwitter.com/telegram/status/1777677055837995151

结论：疑似攻击者通过利用错误MIME type实现客户端欺骗。

涉及Telegram中的两个API功能——sendVideo和InputFile。

sendVideo中的video字段支持两种输入方式，“InputFile or String”，

- （String）传递一个文件 ID（以字符串形式）来发送存储在 Telegram 服务器上的视频（推荐做法）
- （String/InputFile）传递一个 HTTP URL（以字符串形式）以便 Telegram 从互联网获取视频
- （InputFile）使用 multipart/form-data 上传一个新视频。

问题出在第二种，InputFile - Sending by URL时，目标资源可以拥有一个自定义的MIME标签，以指示其他Telegram客户端应该以什么方式加载这个资源。

而这些不怀好意的.pyzw文件，（可能由于漏洞）在这里都被指定为了video/mp4，导致其他Telegram客户端将以播放器模式展示这个文件。



响应标头：>图1<
请求方json：

{
  "dcId": number,
  "location": {
    "_": "inputDocumentFileLocation",
    "id": "*",
    "access_hash": "*",
    "file_reference": [
      *, *, *, *
    ]
  },
  "size": 42,
  "mimeType": "video/mp4",
  "fileName": "***.pyzw"
}

另外，Telegram Desktop的影片播放方式决定了Telegram Desktop将会把这些较小的视讯资源放置在本地下载目录，然后通过“执行”的方式来加载本地影片至内嵌播放器，这也就是为什么在用户点击这些“假影片”后会自动执行攻击者编写的代码。

今天是中国互联网30岁的生日！🎉
无论如何，三十年间，它将亿万个你我相连，纵使远隔万里，亦能心意相通！
让我们期待下一个三十年是什么样子吧！

git CVE-2024-32002, CVE-2024-32004, CVE-2024-32020 and CVE-2024-32021
fixed versions: v2.39.4, v2.40.2, v2.41.1, v2.42.2, v2.43.4 and v2.44.1, v2.45.1

* CVE-2024-32002:

Recursive clones on case-insensitive filesystems that support symbolic
links are susceptible to case confusion that can be exploited to
execute just-cloned code during the clone operation.

* CVE-2024-32004:

Repositories can be configured to execute arbitrary code during local
clones. To address this, the ownership checks introduced in v2.30.3
are now extended to cover cloning local repositories.

* CVE-2024-32020:

Local clones may end up hardlinking files into the target repository's
object database when source and target repository reside on the same
disk. If the source repository is owned by a different user, then
those hardlinked files may be rewritten at any point in time by the
untrusted user.

* CVE-2024-32021:

When cloning a local source repository that contains symlinks via the
filesystem, Git may create hardlinks to arbitrary user-readable files
on the same filesystem as the target repository in the objects/
directory.

这验证码很有特色，直接不演了
https://m.zui.com/iunlock

AFuture:
我艹，天才！
github.com/JadyXuan/NTTS

https://twitter.com/AFutureD/status/1791301652282319233

Windows Wi-Fi Driver Remote Code Execution Vulnerability
CVE-2024-30078
需要物理接近，无需用户交互。

原帖 https://v2ex.com/t/1052804

OpenSSH 鉴权超时终止会话时信号竞态条件漏洞 [CVE-2024-6387]
可远程攻击, 可拿root shell, 影响 openssh 版本 <4.4p1, 8.5p1~9.8p1, 预计x64下连续打一周能出。
https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt
https://www.openssh.com/txt/release-9.8
https://security-tracker.debian.org/tracker/CVE-2024-6387
https://github.com/gentoo/gentoo/pull/22961
https://github.com/NixOS/nixpkgs/pull/323768

【立创离大谱BUG之【旋转一分钟】-哔哩哔哩】 https://www.bilibili.com/video/BV1yS421R7g5?p=1
省流: Web 版 LCEDA 属性没写好，把 class 的右边引号和 text 的左边引号弄成 &quote 了

https://vxtwitter.com/IerE043/status/1819272446987632875
CMCC 的 DPI 居然是 Java 写的