deepin（深度）操作系统各版本均不受 liblzma/xz 影响

2024-04-08 298

内容来源：deepin（深度）社区

近日，开源软件 liblzma/xz 5.6.0 及 5.6.1 版本存在安全漏洞的消息被披露后，deepin 已对所有产品完成了排查，确认 deepin（深度）操作系统各版本均不受其影响，请各位用户放心使用。

漏洞描述：xz 5.6.0 与 5.6.1 版本的上游代码中发现了后门程序，它通过加入测试用的二进制数据，然后再在编译脚本中从上述数据里提取内容修改编译结果。就目前初步研究显示，生成的代码会挂钩 OpenSSH 的 RSA 加密相关函数，使得攻击者可以通过特定方式绕过 RSA 签名验证过程，其它可能的影响仍在持续研究中。作为一款流行的压缩软件，liblzma/xz 被各 Linux 发行版广泛使用，因此此安全漏洞的影响面较广。
漏洞危害等级：高危。
漏洞影响范围：5.6.0<=xz-utils<=5.6.1。

deepin（深度）操作系统受影响情况分析

deepin V23 上 xz-utils 的版本为 5.4.5，不在漏洞影响范围内，不受该漏洞影响。
deepin V20.9 上 xz-utils 的版本为 5.2.4，不在漏洞影响范围内，不受该漏洞影响。
deepin（深度）操作系统其它版本均已被验证不受该漏洞影响，请用户放心使用。

deepin 致力于为全球用户提供美观易用、安全可靠的 Linux 发行版，在不断提升用户体验的同时，一直将操作系统安全放在首位。deepin 将持续提升安全能力，夯实操作系统底层和应用安全基础！

了解 deepin（深度）操作系统：https://www.deepin.org/index/zh

deepin（深度）论坛：https://bbs.deepin.org/

微信关注我们

原文链接：https://www.oschina.net/news/286616

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

通义千问开源 320 亿参数模型

阿里云通义千问开源320亿参数模型Qwen1.5-32B，可最大限度兼顾性能、效率和内存占用的平衡，为企业和开发者提供更高性价比的模型选择。目前，通义千问共开源了7款大语言模型，在海内外开源社区累计下载量突破300万。通义千问此前已开源5亿、18亿、40亿、70亿、140亿和720亿参数的6款大语言模型并均已升级至1.5版本，其中，几款小尺寸模型可便捷地在端侧部署，720亿参数模型则拥有业界领先的性能，多次登上HuggingFace等模型榜单。此次开源的320亿参数模型，将在性能、效率和内存占用之间实现更理想的平衡，例如，相比14B模型，32B在智能体场景下能力更强；相比72B，32B的推理成本更低。通义千问团队希望32B开源模型能为下游应用提供更好的解决方案。基础能力方面，通义千问320亿参数模型在MMLU、GSM8K、HumanEval、BBH等多个测评中表现优异，性能接近通义千问720亿参数模型，远超其他300亿级参数模型。 Chat模型方面，Qwen1.5-32B-Chat模型在MT-Bench评测得分超过8分，与Qwen1.5-72B-Chat之间的差距相对较小。多...

2024-04-08

340

JavaScript 引擎 V8 宣布其内存沙盒 (V8 Sandbox)自最初的设计文档发布以来，已历经近三年时间，其间发布了数百个 CL，现在它已不再被视为实验性安全功能，并将在 Chrome 123 中进入测试阶段。公告写道，过去三年（2021 年至 2023 年）发生的所有 Chrome 漏洞都是从 Chrome 渲染器进程中的内存损坏漏洞开始，该漏洞被用于远程代码执行 (RCE)。其中，60% 是 V8 中的漏洞。然而，有一个问题：V8 漏洞很少是经典的内存损坏错误（如释放后使用、越界访问等），而是微妙的逻辑问题，这些问题反过来可以被利用来损坏内存。因此，现有的内存安全解决方案大部分不适用于 V8。特别是，无论是切换到内存安全语言（例如 Rust），还是使用当前或未来的硬件内存安全功能（例如内存标记），都无法帮助解决 V8 当前面临的安全挑战。不过在 V8 中发现和利用的几乎所有漏洞都有一个共同点：最终的内存损坏必然发生在 V8 堆内存，因为编译器和运行时（几乎）专门在 V8HeapObject实例上运行。基于此，V8 团队设计了沙盒机制。V8 沙盒的设计思想是隔离...

2024-04-08

338

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

deepin（深度）操作系统各版本均不受 liblzma/xz 影响

deepin（深度）操作系统受影响情况分析

通义千问开源 320 亿参数模型

JavaScript 引擎 V8 的内存沙盒 (V8 Sandbox) 开始测试

相关文章

发表评论

资源下载

优质分享App

腾讯云软件源

Nacos

Spring

欢迎您来访！