作为 Linux 中最常使用的重要实用程序之一，Sudo 几乎安装在每一款 UNIX 和 Linux 发行版上，以便用户调用和实施核心命令。  然而近期曝出的一个提权漏洞，却直指 sudo 的一个安全策略隐患  —— 即便配置中明确不允许 root 用户访问，该漏洞仍可允许恶意用户或程序，在目标 Linux 系统上以 root 用户身份执行任意命令。
　　（题图 via Hacker News ）
　　据悉，Sudo 特指“超级用户”。作为一个系统命令，其允许用户以特殊权限来运行程序或命令，而无需切换使用环境（通常以 root 用户身份运行命令）。
　　默认情况下，在大多数 Linux 发行版中（如屏幕快照所示），/ etc / sudoers 的 RunAs 规范文件中的 ALL 关键字，允许 admin 或 sudo 分组中的所有用户，以系统上任何有效用户的身份运行任何命令。
　　然而由于特权分离是 Linux 中最基本的安全范例之一，因此管理员可以配置 sudoers 文件，来定义哪些用户可以运行哪些命令。
　　这样一来，基板限制了用户以 root 身份运行特定或任何命令，该漏洞也可允许用户绕过此安全策略，并完全控制系统。
　　Sudo 开发者称： “只要 Runas 规范明确禁止 root 访问、首先列出 ALL 关键字，具有足够 sudo 权限的用户就可以使用它来以 root 身份运行命令。”
　　据悉，该漏洞由 苹果 信息安全部门的 Joe Vennix 追踪发现（CVE-2019-14287）。且想要利用这个 bug，只需 Sudo User ID -1 或 4294967295 。
　　这是因为将用户 ID 转换为用户名的函数，会将 -1（或无效等效的 4294967295）误认为 0，而这正好是 root 用户 User ID 。
　　此外，由于通过 -u 选项指定的 User ID 在密码数据库中不存在，因此不会运行任何 PAM 会话模块。
　　综上所述，该漏洞影响最新版本 1.8.28 之前的所有 Sudo 版本。庆幸的是，几个小时前，各大 Linux 发行版都已经在向用户推送新版本了。
　　【来源：cnBeta.COM】

光标浏览成为ChromiumEdgeCanary默认功能据外媒报道，虽然允许通过键盘在网页上导航内容的CaretBrowsing（光标浏览）功能已经在基于Chromium开发的Edge浏览器上的flag上上线，但直到最近微软才将其设为EEA送福利开启登录验证获赠1个月OriginAccess会员近日，据外媒报道，EA游戏平台Origin为玩家带来了全新的福利，只要玩家开启EA账号登陆验证，即可获赠一个月的OriginAccessBasic会员服务！如果已经是OriginA谷歌拟收购视频共享应用Firework火拼短视频应用市场据外媒报道，谷歌正考虑收购视频共享应用Firework，以与字节跳动旗下短视频产品抖音的海外版TikTok竞争。Firework也允许用户创建和分享短片。Firework公司总部位EdgeCanary引入可明文显示密码的选项在经典版Edge和InternetExplorer浏览器中，微软是允许用户点击密码输入框旁边的ldquo眼睛rdquo图标，来明文查看其输入的密码字符的。在基于Chromium内核GoogleChromeCanary可让您删除所有第三方CookieGoogleChrome在常规和隐身模式下提供了改进的Cookie控件用户界面后，默认情况下会阻止跟踪Cookie，现在，最新的Canary版本允许通过Chromesettings微软主管PanosPanay明确表示从未考虑过重整WindowsMobile微软的最后一部WindowsPhone手机Lumia650于2016年发布，旗舰产品Lumia950950XL于2015年发布。2017年10月，微软的JoeBelfiore宣布该iOS13。2Beta意外泄露新一代苹果AirPods入耳式设计支持降噪在真无线耳机中，苹果的AirPods的交互体验依然是标杆的存在。但降噪功能的缺失，一直是很多果粉心中的遗憾。不过，很早就有传闻称，苹果将推出支持降噪功能的新款AirPods，如今，安全研究人员发现谷歌Play商店潜伏有广告软件过去几周和数月，经常有媒体报道称谷歌Play商店混入了带有广告软件的应用。某些拍照类和网络连接类App成为了这方面的重灾区，积累的下载量已达数亿。在巨大的商业利益面前，这似乎是一场仙剑史上首部动画今日开播音熊联盟配音10月2日消息，仙剑史上首部动画作品仙剑奇侠传幻璃镜今天在爱奇艺动漫频道上线。故事情节阆风掌门虚尘真人亲创一幻境，捉捕众妖囚禁其中。镜中分布崇山峻岭，火山雪原等多样景致，名为mdaXboxGameStreaming应用突然现身谷歌Play商店外媒报道称，微软已经向谷歌Play商店送去了XboxGameStreaming应用，且正好赶上了xCloud项目的档期。随着微软即将推出全新视频游戏流媒体服务的公测，该公司显然也做谷歌介绍Chrome将逐步弃用TLS1。01。1协议的计划早在去年10月，谷歌就宣布了要在Chrome81中放弃支持旧版TLS安全传输层协议的计划。今天，该公司强调了在彻底弃用前的几个月，它将如何在自家浏览器中逐步采取行动。首先，从Chr