每日安全动态推送(9-24)

主要观点总结

这篇文章主要报道了关于网络安全领域的多个漏洞及对应的技术细节和解决方案。涉及Invesalius版本3.1中的任意文件写入漏洞、开源软件包生态系统的安全重建、Linux i915驱动程序的PTE使用漏洞、名为Minderbinder的混沌工程工具的使用，以及FLIR-AX8热成像仪的多个漏洞等。

关键观点总结

关键观点1: Invesalius版本3.1存在任意文件写入漏洞

这是首个公开报道和演示该特定漏洞的技术细节的文章，并提供了针对该漏洞的Python3概念验证代码。

关键观点2: 开源软件包生态系统的安全重建方法

通过生成、验证和增强构建证明来保障安全，针对NPM（JS/TS）、PyPI（Python）及Crates.io（Rust）等生态系统中的热门软件包进行分析与重建。

关键观点3: Linux i915驱动程序中存在PTE使用漏洞

该漏洞存在于vm_fault_gtt函数中，表现为越界写入问题导致的使用后释放（use-after-free）漏洞，对于GPU内存管理的安全性有重大影响。

关键观点4: 介绍名为Minderbinder的混沌工程工具

利用eBPF技术在运行中的进程注入故障，有助于测试应用程序和服务面对系统调用和网络流量失败时的弹性能力。

关键观点5: FLIR-AX8热成像仪存在多个安全漏洞

包括RCE分析及命令执行漏洞等，文章详细剖析了其背后的实现机制和技术细节，对于提高工业监控系统的安全性具有重要指导意义。

正文

请到「今天看啥」查看全文

https://github.com/google/oss-rebuild?tab=readme-ov-file

・ 本文介绍了如何通过生成、验证和增强构建证明来保障开源软件包生态系统的安全，采用低成本高规模的可重复构建概念。该方法针对NPM（JS/TS）、PyPI（Python）及Crates.io（Rust）等生态系统中的热门软件包进行分析与重建，并发布上游工件的构建证明以确保其完整性。 – SecTodayBot

• Linux i915 PTE Use-After-Free:

请到「今天看啥」查看全文