HackerNews 编译，转载请注明出处： Fortinet公司揭露了一个令人不安的情况：网络攻击者找到了一种方法，即使在最初用于入侵FortiGate设备的漏洞被修复后，他们仍能保持对该设备的只读访问权限。 据推测，攻击者利用了包括但不限于CVE-2022-42475、CVE-2023-27997和CVE-2024-21762在内的已知且现已修复的安全漏洞来实施攻击。 Fortinet在周四发布的安全公告中表示：“攻击者利用已知漏洞，为易受攻击的FortiGate设备设置了只读访问权限。这是通过在用于提供SSL-VPN语言文件的文件夹中创建一个符号链接，连接用户文件系统和根文件系统来实现的。” Fortinet指出，这些修改发生在用户文件系统中，并成功躲避了检测，导致即使在修复了最初入侵的安全漏洞后，该符号链接（也称为symlink）仍然存在。 这使得攻击者能够继续访问设备文件系统中的文件，包括配置文件等，但那些从未启用SSL-VPN功能的客户不受此问题影响。 目前尚不清楚是谁在幕后操纵此次攻击活动，但Fortinet的调查显示，该攻击并非针对特定地区或行业。Fortinet还表示，已直接通知受影响的客户。 为了防止此类问题再次发生，Fortinet推出了一系列FortiOS软件更新： – FortiOS 7.4、7.2、7.0和6.4版本：将符号链接标记为恶意文件，以便由防病毒引擎自动删除。 – FortiOS 7.6.2、7.4.7、7.2.11、7.0.17和6.4.16版本：删除了符号链接，并修改了SSL-VPN用户界面，以防止此类恶意符号链接的传播。 Fortinet建议客户将其系统更新至FortiOS 7.6.2、7.4.7、7.2.11、7.0.17或6.4.16版本，审查设备配置，并将所有配置视为可能已被篡改，采取适当的恢复措施。 美国网络安全与基础设施安全局（CISA）也发布了相关安全公告，敦促用户重置暴露的凭据，并考虑在应用补丁之前禁用SSL-VPN功能。法国计算机应急响应小组（CERT-FR）在类似的公告中表示，他们已知晓此类入侵行为可追溯至2023年初。 watchTowr公司首席执行官Benjamin Harris在接受采访时表示，此次事件令人担忧，原因主要有两个。 首先，网络攻击的实施速度远远超过了组织进行漏洞修复的速度，而且攻击者显然深知这一点。其次，更令人恐惧的是，攻击者在快速入侵后多次部署了能够抵御组织所依赖的漏洞修复、升级和出厂重置等缓解措施的能力和后门，以维持对被入侵组织的持久访问。 Harris还表示，在watchTowr的客户群体中发现了后门部署的情况，并且许多被认定为“关键基础设施”的组织也受到了影响。     消息来源：thehackernews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Fortinet 已发布安全更新，以修复影响 FortiSwitch 的一个严重安全漏洞，该漏洞可能允许攻击者进行未经授权的密码更改。 该漏洞被追踪为 CVE-2024-48887，CVSS 评分为 9.3（满分 10.0）。 Fortinet 在今日发布的公告中表示：“FortiSwitch GUI 中存在一个未验证的密码更改漏洞 [CWE-620]，可能允许远程未认证的攻击者通过特制请求修改管理员密码。” 以下是受影响的版本： FortiSwitch 7.6.0（升级至 7.6.1 或更高版本） FortiSwitch 7.4.0 至 7.4.4（升级至 7.4.5 或更高版本） FortiSwitch 7.2.0 至 7.2.8（升级至 7.2.9 或更高版本） FortiSwitch 7.0.0 至 7.0.10（升级至 7.0.11 或更高版本） FortiSwitch 6.4.0 至 6.4.14（升级至 6.4.15 或更高版本） 这家网络安全公司表示，该漏洞是由 FortiSwitch Web UI 开发团队的 Daniel Rozeboom 内部发现并报告的。 作为临时措施，Fortinet 建议禁用管理界面的 HTTP/HTTPS 访问，并限制系统访问权限，仅允许受信任的主机访问。 虽然目前没有证据表明该漏洞已被利用，但许多影响 Fortinet 产品的安全漏洞曾被威胁行为者武器化，因此用户必须尽快应用补丁。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Apache Parquet的Java库中存在一个严重安全漏洞，成功利用该漏洞的远程攻击者可在易受攻击的实例上执行任意代码。 Apache Parquet是一种免费开源的列式数据文件格式，专为高效的数据处理和检索而设计，支持复杂数据、高性能压缩和编码方案，最初于2013年推出。 该漏洞编号为CVE-2025-30065，CVSS评分为10.0，是最高 severity 级别。 “Apache Parquet 1.15.0及更早版本的parquet-avro模块中的架构解析存在漏洞，允许恶意行为者执行任意代码，”项目维护者在一份公告中表示。 据Endor Labs称，成功利用该漏洞需要诱骗易受攻击的系统读取特制的Parquet文件以获得代码执行权限。 “该漏洞可能影响导入Parquet文件的数据管道和分析系统，特别是当这些文件来自外部或不可信来源时，”该公司表示。“如果攻击者能够篡改文件，就可能触发该漏洞。” 该缺陷影响所有版本的软件，包括1.15.0版本。该问题已在1.15.1版本中得到解决。亚马逊的Keyi Li被授予发现并报告该漏洞的荣誉。 虽然目前没有证据表明该漏洞已在野外被利用，但Apache项目中的漏洞已成为威胁行为者寻找机会入侵系统和部署恶意软件的焦点。 上个月，Apache Tomcat中的一个严重安全漏洞（CVE-2025-24813，CVSS评分：9.8）在公开披露后30小时内遭到积极利用。 网络安全公司Aqua在本周发布的一项分析中表示，其发现了一项新的攻击活动，针对使用容易猜到的凭据的Apache Tomcat服务器，部署加密的有效载荷，旨在窃取用于横向移动的SSH凭据，并最终劫持系统资源用于非法加密货币挖掘。 这些有效载荷还能够建立持久性，并充当基于Java的Web shell，使攻击者能够在服务器上执行任意Java代码，Aqua的威胁情报总监Assaf Morag表示。 “此外，该脚本旨在检查用户是否具有root权限，如果是，则执行两个函数，以优化CPU消耗以获得更好的加密货币挖掘效果。” 该活动影响Windows和Linux系统，很可能被认为是中国讲威胁行为者所为，因为源代码中存在中文语言注释。   消息来源：The Hacker News； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： CrushFTP向客户发出警告，称存在一个未授权的HTTP(S)端口访问漏洞，并敦促他们立即更新服务器。 正如该公司在上周五发给客户的一封电子邮件中所解释的（BleepingComputer已看到该邮件），如果未打补丁的服务器通过HTTP(S)暴露在互联网上，该安全漏洞将使攻击者能够获得未授权的访问权限。 “请立即采取行动尽快打补丁。今天（2025年3月21日）已解决一个漏洞。所有CrushFTP v11版本均受影响。（没有更早的版本受到影响。）即将生成CVE编号，”该公司警告道。 “这个漏洞的核心在于暴露的HTTP(S)端口可能导致未授权访问。如果你启用了CrushFTP的DMZ功能，该漏洞将得到缓解。” 尽管邮件称此漏洞仅影响CrushFTP v11版本，但同一天发布的安全公告却指出，CrushFTP v10和v11均受影响，正如网络安全公司Rapid7首次指出的那样。 作为临时解决方案，那些无法立即更新至CrushFTP v11.3.1+（该版本修复了该漏洞）的用户可以启用DMZ（非军事区）外围网络选项来保护其CrushFTP实例，直到安全更新得以部署。 根据Shodan的数据显示，有超过3400个CrushFTP实例的Web界面暴露在互联网上，容易受到攻击，尽管BleepingComputer无法确定其中有多少已经打过补丁。 暴露在互联网上的CrushFTP实例（Shodan数据） 在2024年4月，CrushFTP还发布了安全更新，修复了一个正在被积极利用的零日漏洞（CVE-2024-4040），该漏洞允许未授权的攻击者逃离用户的虚拟文件系统（VFS）并下载系统文件。 当时，网络安全公司CrowdStrike发现了指向情报收集活动的证据，很可能是出于政治动机，攻击者针对了美国多个组织的CrushFTP服务器。 美国网络安全和基础设施安全局（CISA）将CVE-2024-4040添加到了其已知被利用漏洞目录中，并命令美国联邦机构在一周内确保其网络中易受攻击的服务器安全。 在2023年11月，CrushFTP客户还被警告要修复其企业套件中的一个严重远程代码执行漏洞（CVE-2023-43177），在该漏洞被修复三个月后，报告该漏洞的Converge安全研究人员发布了一个概念验证利用。 像CrushFTP这样的文件传输产品是勒索软件团伙的诱人目标，特别是Clop团伙，该团伙与针对MOVEit Transfer、GoAnywhere MFT、Accelion FTA和Cleo软件中的零日漏洞的数据盗窃攻击有关联。   消息来源：Bleeping Computer；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 云安全公司Wiz披露了Kubernetes Ingress NGINX控制器中存在的一组五个严重安全漏洞，这些漏洞可能导致无认证的远程代码执行，使超过6500个集群面临风险，因为该组件暴露在公共互联网上。 这些漏洞（CVE-2025-24513、CVE-2025-24514、CVE-2025-1097、CVE-2025-1098和CVE-2025-1974）被统称为IngressNightmare，CVSS评分为9.8。值得注意的是，这些缺陷不影响NGINX Ingress控制器，后者是NGINX和NGINX Plus的另一种Ingress控制器实现。 “利用这些漏洞，攻击者可以未经授权访问Kubernetes集群中所有命名空间中存储的所有机密，可能导致集群被接管，”该公司在一份与The Hacker News共享的报告中表示。 IngressNightmare主要影响Kubernetes Ingress NGINX控制器的准入控制器组件。大约43%的云环境容易受到这些漏洞的影响。 Ingress NGINX控制器使用NGINX作为反向代理和负载均衡器，使其能够将HTTP和HTTPS路由从集群外部暴露给内部服务。 该漏洞利用了部署在Kubernetes pod中的准入控制器在没有认证的情况下可通过网络访问的事实。 具体来说，它涉及通过直接向准入控制器发送恶意Ingress对象（也称为AdmissionReview请求），远程注入任意NGINX配置，从而在Ingress NGINX控制器的pod上执行代码。 “准入控制器的高权限和不受限制的网络可访问性创建了一个关键的升级路径，”Wiz解释道。“利用这个缺陷，攻击者可以执行任意代码并访问所有跨命名空间的集群机密，这可能导致完整的集群接管。” 这些缺陷如下： CVE-2025-24513（CVSS评分：4.8）——一个不正确的输入验证漏洞，可能导致容器内的目录遍历，结合其他漏洞可能导致拒绝服务（DoS）或有限的集群机密对象披露 CVE-2025-24514（CVSS评分：8.8）——auth-url Ingress注解可用于将配置注入NGINX，导致在ingress-nginx控制器上下文中执行任意代码并披露控制器可访问的机密 CVE-2025-1097（CVSS评分：8.8）——auth-tls-match-cn Ingress注解可用于将配置注入NGINX，导致在ingress-nginx控制器上下文中执行任意代码并披露控制器可访问的机密 CVE-2025-1098（CVSS评分：8.8）——mirror-target和mirror-host Ingress注解可用于将任意配置注入NGINX，导致在ingress-nginx控制器上下文中执行任意代码并披露控制器可访问的机密 CVE-2025-1974（CVSS评分：9.8）——无需凭据或管理访问权限即可实现集群接管 在一个实验性的攻击场景中，威胁行为者可以利用NGINX的客户端请求体缓冲功能，以共享库的形式将恶意载荷上传到pod，然后向准入控制器发送AdmissionReview请求。 该请求包含上述配置指令注入之一，导致共享库被加载，从而实现远程代码执行。 Wiz的云安全研究员Hillai Ben-Sasson告诉The Hacker News，攻击链本质上涉及注入恶意配置，并利用它读取敏感文件和运行任意代码。这随后可能允许攻击者滥用强服务账户以读取Kubernetes机密并最终促进集群接管。 在一份独立的咨询报告中，Kubernetes安全响应委员会表示，除了CVE-2025-1974之外的所有漏洞都涉及改进Ingress NGINX处理某些配置参数的方式。另一方面，CVE-2025-1974可以与其他漏洞结合，无需凭据或管理访问权限即可实现集群接管。 在负责任地披露后，这些漏洞已在Ingress NGINX Controller版本1.12.1、1.11.5和1.10.7中得到修复。 建议用户尽快更新到最新版本，并确保准入网络钩子端点不被外部暴露。 作为缓解措施，建议仅允许Kubernetes API服务器访问准入控制器，并在不需要时暂时禁用准入控制器组件。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： SANS 技术研究所的互联网风暴中心（Internet Storm Center）近期观察到针对两个思科（Cisco）智能许可工具（Smart Licensing Utility）漏洞的利用尝试，这两个漏洞已于半年前修复。 2024 年 9 月初，思科披露其智能许可工具存在两个关键漏洞（CVE-2024-20439 和 CVE-2024-20440），并发布了相关补丁。这两个漏洞可能允许未经身份验证的远程攻击者收集敏感信息或管理受影响系统上的相关服务。 CVE-2024-20439：这是一个静态凭证漏洞，攻击者可以通过一个硬编码的密码访问该软件。 CVE-2024-20440：该漏洞与一个记录过多信息的日志文件有关，攻击者在利用第一个漏洞后可以访问该日志文件。 SANS 的研究员 Johannes Ullrich 报告称，观察到攻击者尝试使用默认凭据访问思科智能许可工具实例。攻击者的目标尚不明确，但 Ullrich 指出，同一威胁行为者似乎也在尝试入侵其他类型的系统，包括一些暴露在互联网上的物联网设备。 目前，尚无公开报告表明这两个思科漏洞在野外被利用的情况。思科的安全公告显示，这两个漏洞是内部发现的，截至本文撰写时，尚未提及野外利用情况。 消息来源：SecurityWeek； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： Veeam 和 IBM 近日发布了安全更新，以修复其 Backup 和 AIX 系统中的高风险漏洞。 Veeam 发布了安全更新，修复了影响其 Backup & Replication 软件的一个关键安全漏洞，该漏洞可能导致远程代码执行。该漏洞编号为 CVE-2025-23120，其 CVSS 评分为 9.9（满分 10.0），影响 12.3.0.310 版本及所有更早的 12 版本。 Veeam 在周三发布的安全公告中表示：“该漏洞允许经过身份验证的域用户执行远程代码。” 安全研究人员 Piotr Bazydlo（来自 watchTowr）因发现并报告该漏洞而受到赞誉，该漏洞已在 12.3.1 版本（构建号 12.3.1.1139）中得到修复。 根据 Bazydlo 和研究员 Sina Kheirkhah 的分析，CVE-2025-23120 源自 Veeam 对反序列化机制的不一致处理，导致一个允许反序列化的白名单类为一种内部反序列化铺平了道路，而这种内部反序列化采用了基于黑名单的方法来阻止公司认为有风险的数据反序列化。 这也意味着攻击者可以利用黑名单中缺失的反序列化工具（例如 Veeam.Backup.EsxManager.xmlFrameworkDs 和 Veeam.Backup.Core.BackupSummary）来实现远程代码执行。 “任何属于 Veeam 服务器 Windows 主机本地用户组的用户都可以利用这些漏洞，”研究人员表示，“更糟糕的是，如果你的服务器已加入域，那么任何域用户都可以利用这些漏洞。” Veeam 的补丁将这两个工具添加到现有黑名单中，这意味着如果发现其他可行的反序列化工具，该解决方案可能会再次面临类似风险。 与此同时，IBM 也发布了补丁，修复了其 AIX 操作系统中的两个关键漏洞，这些漏洞可能允许执行命令。受影响的 AIX 版本为 7.2 和 7.3，具体漏洞如下： CVE-2024-56346（CVSS 评分：10.0）：这是一个不当访问控制漏洞，可能允许远程攻击者通过 AIX nimesis NIM 主服务执行任意命令。 CVE-2024-56347（CVSS 评分：9.6）：这是一个不当访问控制漏洞，可能允许远程攻击者通过 AIX nimsh 服务的 SSL/TLS 保护机制执行任意命令。 尽管目前没有证据表明这些关键漏洞已被实际利用，但用户仍被建议尽快应用必要的补丁，以防范潜在威胁。 消息来源：TheHackerNews； 本文由 HackerNews.cc 翻译整理，封面来源于网络；  转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 黑客正在积极利用OpenAI ChatGPT基础设施中的服务器端请求伪造（SSRF）漏洞（CVE-2024-27564）发起攻击。尽管该漏洞的严重程度被评为中等，但其带来的威胁已引发广泛关注。 据网络安全公司Veriti的研究，攻击者已经在多起真实攻击中利用该漏洞，证明即使是中等风险的安全缺陷，也可能成为攻击者突破AI系统防线的有效手段。 Veriti的研究数据显示，仅在一周内，已有10,479次攻击尝试来自恶意IP地址。这些攻击表现出高度协调性，目标多为使用OpenAI技术的机构。 美国是遭受攻击最严重的国家，占比高达33%。德国和泰国紧随其后，各占7%。此外，印度尼西亚、哥伦比亚和英国等国也报告了相关攻击事件，反映了这一威胁的全球性。 Veriti的研究人员指出：“此次攻击模式表明，即使是微小的漏洞也可能成为攻击者的目标。只要有机会，他们便会加以利用。” 攻击量在2025年1月急剧上升，随后在2月和3月略有回落，可能表明攻击者的策略有所调整，或是受到防御措施的影响。 CVE-2024-27564是一种服务器端请求伪造漏洞，允许攻击者在输入参数中注入恶意URL，从而迫使ChatGPT的应用程序在攻击者的指令下执行请求。 该漏洞通常发生在用户输入未经过适当验证时。在本次事件中，攻击者通过操控ChatGPT的pictureproxy.php组件中的url参数，发送任意请求，可能绕过安全控制。 风险概览 风险因素 详情 影响产品 ChatGPT（commit f9f4bbc中的pictureproxy.php组件）OpenAI基础设施 影响 发送任意请求、暴露敏感信息 攻击条件 远程利用可能 CVSS 3.1评分 6.5（中等） 金融机构成为主要目标 在此次攻击中，银行和金融科技公司成为主要受害者。这类机构高度依赖AI驱动的服务和API集成，使其更容易受到SSRF攻击的侵害。 攻击可能导致数据泄露、未经授权的交易、合规性处罚以及声誉损害。 应对措施 令人担忧的是，Veriti发现35%的受影响机构由于入侵防护系统（IPS）、Web应用防火墙（WAF）和传统防火墙配置不当而未能有效防御此漏洞。 为应对此威胁，安全专家建议机构立即采取以下措施： 审查并修复IPS、WAF和防火墙配置，确保防御CVE-2024-27564。 实施严格的输入验证，防止恶意URL注入。 监控日志，检测来自已知恶意IP的攻击尝试。 考虑网络分段，隔离处理URL请求的组件。 在风险评估程序中优先关注与AI相关的安全漏洞。   近年来，国家支持的黑客组织和网络犯罪分子逐渐将AI系统作为攻击目标。根据最新报告，自2024年初以来，攻击者已在20多起事件中尝试滥用ChatGPT进行恶意活动。     消息来源：Cybersecurity News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 网络安全研究人员披露了影响 mySCADA myPRO 的两个严重漏洞的细节，这是一种在运营技术（OT）环境中使用的数据采集与监视控制系统（SCADA）。瑞士安全公司 PRODAFT 表示，如果这些漏洞被利用，可能会使攻击者获得对工业控制网络的未授权访问，从而导致严重的运营中断和财务损失。 这两个漏洞在 CVSS v4 评分系统中均被评定为 9.3 分，具体如下： – CVE-2025-20014：一种操作系统命令注入漏洞，允许攻击者通过包含版本参数的特制 POST 请求在受影响系统上执行任意命令 – CVE-2025-20061：一种操作系统命令注入漏洞，允许攻击者通过包含电子邮件参数的特制 POST 请求在受影响系统上执行任意命令 成功利用这两个漏洞中的任何一个，都可能使攻击者能够注入系统命令并执行任意代码。这些问题已在以下版本中得到解决： – mySCADA PRO Manager 1.3 – mySCADA PRO Runtime 9.2.1 据 PRODAFT 称，这两个漏洞均源于未能对用户输入进行清理，从而为命令注入打开了大门。 “这些漏洞突显了 SCADA 系统中的持续安全风险以及加强防御的必要性，”该公司表示。“利用这些漏洞可能导致运营中断、财务损失和安全隐患。” 建议组织应用最新补丁，通过将 SCADA 系统与 IT 网络隔离来实施网络分段，强制执行强身份验证，并监控可疑活动。   消息来源：The Hacker News；  本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文

HackerNews 编译，转载请注明出处： 近日，Apache Tomcat 被披露存在一个安全漏洞，该漏洞在公开披露仅 30 小时后，随着公共概念验证（PoC）的发布，已在野外被积极利用。 该漏洞被追踪为 CVE-2025-24813，影响以下版本： – Apache Tomcat 11.0.0-M1 至 11.0.2 – Apache Tomcat 10.1.0-M1 至 10.1.34 – Apache Tomcat 9.0.0-M1 至 9.0.98 当满足特定条件时，该漏洞可能导致远程代码执行或信息泄露： – 默认 Servlet 的写入功能已启用（默认情况下禁用） – 支持部分 PUT（默认情况下启用） – 安全敏感上传的目标 URL 是公共上传目标 URL 的子目录 – 攻击者了解正在上传的安全敏感文件的名称 – 安全敏感文件也通过部分 PUT 上传 若成功利用该漏洞，恶意用户可查看安全敏感文件，或通过 PUT 请求将任意内容注入这些文件。 此外，若以下所有条件均满足，攻击者还可实现远程代码执行： – 默认 Servlet 的写入功能已启用（默认情况下禁用） – 支持部分 PUT（默认情况下启用） – 应用程序使用了 Tomcat 的基于文件的会话持久化功能，并使用了默认存储位置 – 应用程序包含可能被用于反序列化攻击的库 上周，项目维护者在一份咨询报告中表示，该漏洞已在 Tomcat 版本 9.0.99、10.1.35 和 11.0.3 中得到解决。 然而，Wallarm 公司指出，该漏洞已出现野外利用尝试。 “此次攻击利用了 Tomcat 的默认会话持久化机制及其对部分 PUT 请求的支持，”该公司表示。 “该漏洞的利用分为两个步骤：攻击者通过 PUT 请求上传一个序列化的 Java 会话文件。攻击者通过在 GET 请求中引用恶意会话 ID 来触发反序列化。” 换句话说，这些攻击涉及发送一个包含 Base64 编码序列化 Java 负载的 PUT 请求，该请求被写入 Tomcat 的会话存储目录，随后通过发送一个带有指向恶意会话的 JSESSIONID 的 GET 请求来执行反序列化。 Wallarm 还指出，该漏洞极易被利用，且无需身份验证。唯一的先决条件是 Tomcat 使用基于文件的会话存储。 “虽然此漏洞利用了会话存储，但更大的问题是 Tomcat 对部分 PUT 处理不当，这允许几乎在任何位置上传任何文件，”它补充道。“攻击者将很快开始改变策略，上传恶意 JSP 文件，修改配置，并在会话存储之外植入后门。” 建议运行受影响版本 Tomcat 的用户尽快更新其实例，以减轻潜在威胁。   消息来源：Bleeping Computer； 本文由 HackerNews.cc 翻译整理，封面来源于网络；   转载请注明“转自 HackerNews.cc”并附上原文