【每日安全资讯】Qt5 GUI 开发的应用易受远程代码执行漏洞的影响

外媒 Bleepingcomputer 报导称使用 Qt5 GUI 框架开发的应用程序容易面临远程代码执行漏洞。攻击者通过一个鲜为人知的命令行参数配置自定义协议处理程序，就可利用这个漏洞。 许多开发者并不知道当使用 Qt5 框架时，它还添加了可用于修改框架工作方式的命令行参数，例如要显示的窗口标题、窗口大小，甚至是图标。这些命令行参数会被传递给初始化 Qt 框架的函数，然后在其中对它们进行解析。

上文所说的鲜为人知的命令行参数是 platformpluginpath 命令，用于指定从哪个文件夹加载 Qt5 插件，可以是本地文件夹，或者是远程 UNC URL。

当将此参数提供给程序时，程序将使用已输入的路径加载程序的 Qt 插件，这些插件是由框架加载以扩展其功能的特制 DLL 程序。

这意味着，如果攻击者在远程 UNC 上托管恶意 DLL 并且可以使用 platformpluginpath 参数启动程序，则他们可以远程加载 DLL 并执行它，从而进行远程代码执行。

不过由上面也能看出，攻击者要发起这样的攻击需要具备三个要素：

寻找一个基于 Qt5 框架的 GUI 应用程序

加载 Qt5 插件

注册自定义的 URI 处理程序

当然这不是说我们可以因此放松警惕，为了缓解这种类型的攻击，应用程序需要清理命令行参数，以避免远程共享。

*来源：开源中国

更多资讯

◈ 微软终于知道用户不习惯点击“安全删除硬件”

微软所打造的Windows 10系统不仅是非常实用的生产力工具，而且在用户的反馈和建议下不断满足用户的需求来解决现实问题。近日外媒ZDNet发文称微软正希望优化Windows系统处理外部存储设备的默认使用方式。目前在Windows系统中，如果将数据写入到例如U盘等外部存储设备中共有两种方式：一种为快速删除（Quick Removal），还有一种为更好的性能（Better Performance）。

来源：cnBeta.COM

详情：http://t.cn/E6GZzU7

◈ PHP 7.1.28、7.2.17、7.3.4 发布，主要是安全更新

PHP是一种通用开源脚本语言。语法吸收了C语言、Java和Perl的特点，利于学习，使用广泛，主要适用于Web开发领域。PHP 独特的语法混合了C、Java、Perl以及PHP自创的语法。它可以比CGI或者Perl更快速地执行动态网页。近日发布了三个更新版本，这三个版本主要都是安全方面的更新。

来源：开源中国

详情：http://t.cn/E6GZ2iG

◈ Epic CEO否认商城是间谍软件 再次解释和腾讯的关系

Epic商城遭受的众多指责中，可能最怪异的一条就是认为它是一个间谍软件。对此Epic CEO Tim Sweeney再次在Twitter上进行了澄清，解释了和腾讯之间的关系。他说：“我支持任何人对技术工业产生怀疑的权利。有独占游戏、功能欠缺的Epic商城，很容易成为玩家攻击的目标，但还请大家在事实与谎言之间明辨是非，我们的商城并不是所谓的间谍软件，也不受国外控制。”

来源：3DMGame

详情：http://t.cn/E6GZ4C8

◈ Python 之父再度发声：我们能为中国的“996”程序员做什么？

一周前，当 996.ICU 的 GitHub repo 火速在互联网广泛传播时，Python 之父 Guido van Rossum 就在其推特转发了南华早报关于中国程序员 996 工作制的新闻报导，认为 996 工作制是不人道的，并且 star 了 996.ICU 的 GitHub repo。

来源：开源中国

详情：http://t.cn/E6GZt2t

（信息来源于网络，安华金和搜集整理）