macOS Sequoia 15 惊现 DNS 加密漏洞！

Objective Development 于 2024 年 9 月 17 日在其官方博客发布了一篇关于 macOS Sequoia 15 操作系统存在 DNS 加密漏洞的文章，该漏洞可能导致用户隐私泄露。

漏洞概述:

macOS Sequoia 15 中存在一个 bug，可能导致部分 DNS 请求绕过已安装的 DNS 代理，并以未加密的形式发送到系统的默认域名服务器。这意味着，即使用户启用了 DNS 加密功能，例如在 Little Snitch 6 中启 用了该功能，他们的 DNS 查询仍然可能被第三方窃听。

漏洞影响:

该漏洞可能会影响所有类型的 DNS 代理，而不仅仅是 Little Snitch。攻击者可以利用该漏洞获取用户的 DNS 查询记录，从而了解用户访问过哪些网站。

漏洞原理:

macOS Sequoia 15 在处理某些低级遗留 API 发出的 DNS 请求时存在问题，导致这些请求绕过了已安装的 DNS 代理。

漏洞复现:

1. 在 Little Snitch > 设置中启用 DNS 加密。
2. 使用捕获过滤器 port 53 启动 Wireshark。
3. 在 Xcode playground 中运行以下代码：

import Foundation

let domain = "dnsproxytest.com"
var result: UnsafeMutablePointer<addrinfo>?
let status = getaddrinfo(domain, nil, nil, & result)

此时，您将在 Wireshark 中看到 dnsproxytest.com 的 DNS 查询以未加密的形式出现在 UDP 端口 53 上。此外，Little Snitch 网络监视器也不会显示该查询的任何流量，因为该查询完全绕过了网络过滤器。

解决方案:

Objective Development 已将该漏洞报告给 Apple，并希望 Apple 尽快提供修复方案。在此之前，建议用户谨慎使用 macOS Sequoia 15 的 DNS 加密功能。

漏洞追溯:

Objective Development 经过进一步调查发现，该漏洞至少自 macOS 14.5 Sonoma 就已经存在，甚至可能存在于更早的版本中。

macOS Sequoia 15 的 DNS 加密漏洞是一个严重的安全问题，可能会导致用户隐私泄露。建议用户及时关注 Apple 的修复方案，并在修复方案发布之前谨慎使用 macOS Sequoia 15 的 DNS 加密功能。

来源：
https://www.obdev.at/blog/warning-macos-sequoia-15-may-bypass-dns-encryption/

Pacman 7.0 来了！本地仓库用户需要手动干预！

Arch Linux 用户注意！包管理器 Pacman 7.0 已经登陆 Arch Linux 稳定仓库，带来了一系列新功能，包括支持 以降低权限的独立用户身份下载软件包，从而提升安全性。

然而，对于使用本地仓库的用户来说，升级到 Pacman 7.0 需要手动干预才能保证正常使用。

问题所在

Pacman 7.0 引入了一个新的下载用户 _alpm_，该用户可能没有足够的权限访问本地仓库文件，导致软件包下载失败。

解决方法

1. 更改仓库文件所有权： 使用以下命令将本地仓库文件和文件夹的所有组更改为 alpm，以便 Pacman 的下载用户可以访问它们： sudo chown :alpm -R /path/to/local/repo 请将 /path/to/local/repo 替换为你的本地仓库路径。
2. 合并配置文件： 升级过程中会生成一些 .pacnew 文件，其中包含 Pacman 7.0 引入的新默认配置。为了避免潜在冲突，请务必合并这些文件。

• 使用 diff 命令查看文件差异：

diff --color /etc/pacman.conf /etc/pacman.conf.pacnew

• 创建包含差异的补丁文件：

diff -u /etc/pacman.conf /etc/pacman.conf.pacnew > diff.patch

• 检查 diff.patch 文件内容，确认无误后应用补丁：

sudo patch /etc/pacman.conf < diff.patch

1. 更新校验和： Pacman 7.0 改进了使用 .gitattributes 文件的 Git 仓库的校验和稳定性。因此，你可能需要更新 PKGBUILD 文件中来自 Git 仓库的校验和。
2. 重新编译 yay： 如果你使用 yay 从 AUR 安装软件包，升级到 Pacman 7.0 后可能会遇到错误。解决方法是重新编译 yay 。

更新建议

• 如果你使用本地仓库，请务必按照上述步骤进行手动干预。
• 如果你不使用本地仓库，则只需合并 .pacnew 文件即可。

更多信息请参考 Arch Linux 官方公告： https://archlinux.org/news/manual-intervention-for-pacman-700-and-local-repositories-required/

来源： https://linuxiac.com/pacman-7-0-required-manual-intervention/

更多内容请查阅 :
x-cmd blog (daily) | [240920] macOS Sequoia 15 惊现 DNS 加密漏洞 | Pacman 7.0 来了！本地仓库用户需要手动干预