![Security updates for Friday [LWN.net]](/images/og-default.png)
Bài viết tổng hợp các bản cập nhật bảo mật thường kỳ từ LWN.net, liệt kê các advisory gần đây trên các bản phân phối Linux, bao gồm AlmaLinux, dưới dạng bảng có cấu trúc theo từng distro, advisory ID, phiên bản, package và ngày cập nhật.
Vì sao nên đọc: Lập trình viên nên theo dõi để cập nhật các lỗ hổng bảo mật mới trên các hệ điều hành Linux, đặc biệt là trong các phiên bản AlmaLinux và các dự án khác, giúp bảo vệ mã nguồn của ứng dụng khi sử dụng các công cụ hoặc dịch vụ chạy trên nền tảng Linux.
Trả lời 3 câu hỏi ngắn để nhận điểm thưởng cho bài này. Chỉ làm khi bạn muốn lấy điểm.
3 câu hỏi · dưới một phút · không bắt buộc
Nguồn: https://lwn.net/Articles/1083388. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đọc tin ở đây, luyện code, học theo lộ trình và luyện IELTS trên các sản phẩm anh em — tất cả kết nối với nhau trong hệ sinh thái 8 Sync Dev.
Cổng chính của hệ sinh thái: giới thiệu sản phẩm, blog và bảng giá trọn bộ.
Khám pháHọc theo lộ trình với video, quiz chấm tự động, certificate và mentor đang làm nghề.
Xem khóa họcLuyện thuật toán chấm tự động 7 ngôn ngữ, chạy code ngay trên trình duyệt.
Bản cập nhật Astro 7.1 mang đến nhiều cải tiến như hỗ trợ CSP, phân trang, server phát triển và collections nội dung.
Lập trình viên phát triển web nên đọc bài này để khám phá cách Astro 7.1 nâng cao kiểm soát CSP (Content Security Policy) và cải thiện hiệu suất với pagination và bộ nhớ cache nội dung, giúp tối ưu hóa ứng dụng web của mình một cách hiệu quả hơn.
AI cho doanh nghiệp B2B: chat đa kênh AI phản hồi, gom lead tiềm năng, phân loại khách hàng.
Sắp ra mắtBài viết giới thiệu các dự án công nghệ mới nổi trong tuần, khuyến khích người dùng "pop" (sử dụng), "fork" (sao chép) và "polka dot" (tùy biến) các dự án này.
Lập trình viên nên đọc bài này để khám phá cách tự chủ hóa các dịch vụ âm nhạc cá nhân bằng các công cụ tự chủ, từ đó tiết kiệm chi phí và bảo vệ quyền riêng tư trong môi trường công nghệ mở.
AI agent khi triển khai sản xuất đối mặt hai mối đe dọa bảo mật chính: prompt injection (tiêm nhiễm lệnh độc hại) và tool misuse (lạm dụng công cụ do bị lừa). Năm chiến lược phòng thủ cốt lõi gồm: giới hạn quyền tối thiểu qua IAM, sử dụng guardrails mã nguồn mở như NVIDIA NeMo hay Meta Llama Guard, cô lập môi trường bằng Docker/Wasm, bổ sung kiểm soát thủ công cho hành động quan trọng, và giám sát toàn diện hoạt động agent.
Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống AI tự động hóa khỏi các rủi ro từ prompt injection và tool misuse—những mối đe dọa ngày càng phổ biến khi các agent AI được triển khai trong môi trường sản xuất, đòi hỏi kiến thức về các giải pháp bảo mật mới như sandboxing và IAM để xây dựng hệ thống an toàn và tin cậy.
Armin Wolf đã gửi loạt bản vá mới để bổ sung hỗ trợ AArch64 (ARM64) cho driver ACPI WMI trên Linux, mở rộng driver này khỏi giới hạn x86/x86_64 truyền thống. Các thay đổi giúp driver WMI core hoạt động trên mọi kiến trúc hỗ trợ ACPI, cập nhật driver acpi-video cho nền tảng non-x86, và kích hoạt driver WMI BMOF generic cho AArch64, dựa trên phát hiện từ dự án aarch64-laptops về sự tương đồng trong WMI-ACPI giữa Windows-on-Arm và x86.
Nếu bạn là lập trình viên làm việc với hệ thống ARM64 hoặc muốn mở rộng hỗ trợ cho các thiết bị laptop mới như Snapdragon ARM, hãy đọc để hiểu cách Linux đang mở rộng khả năng tương thích với WMI trên các nền tảng ARM thông qua các driver ACPI mới.
Bản phân tích chi tiết một hub USB 3.0 giá rẻ cho thấy nó chỉ là hub USB 2.0 nhưng sử dụng cổng màu xanh dương để đánh lừa người dùng. Bên trong sử dụng chip HS8836A (chỉ hỗ trợ USB 2.0) và có nhiều lỗi chất lượng như mối hàn thiếu, không có tụ bypass, dây cáp hàn trực tiếp và jack barrel cấp ngược nguồn về PC. Người dùng Linux có thể kiểm tra tốc độ thương lượng bằng lệnh lsusb -t để phát hiện phần cứng lừa đảo tương tự.
Lập trình viên nên đọc bài này để hiểu rõ về các lỗ hổng kỹ thuật trong thiết bị ngoại vi USB phổ biến, giúp họ phát triển các giải pháp bảo mật hoặc kiểm tra hiệu suất cho ứng dụng của mình trong môi trường thực tế.
CISA yêu cầu các cơ quan chính phủ ưu tiên vá hai lỗ hổng Fortinet FortiSandbox đang bị khai thác tích cực.
Lập trình viên nên đọc bài này để hiểu cách bảo mật hệ thống của Fortinet, đặc biệt là các lỗ hổng được khai thác ngay lập tức, giúp họ có thể tích hợp kiến thức này vào việc phát triển ứng dụng an toàn và khắc phục nguy cơ bảo mật trong các dự án tương tự.
Cảnh sát Hà Lan bắt giữ nhiều nghi phạm trong đường dây lừa đảo đầu tư quốc tế, gây thiệt hại hơn 100 triệu euro cho hàng chục nghìn nạn nhân.
Lập trình viên nên đọc bài này để hiểu về cách các hacker và kẻ gian thường lợi dụng lỗ hổng trong giao dịch tài chính, giao dịch blockchain, hoặc hệ thống tài chính tự động hóa để gian lận, từ đó nâng cao kiến thức bảo mật và phòng ngừa cho các ứng dụng của mình.
Việc kiểm thử phần mềm bằng các công cụ AI agent (AI tác nhân) đang gia tăng rủi ro mới trong quy trình QA, API và phân phối phần mềm, do đó cần triển khai xác thực bảo mật AI agent.
Lập trình viên nên đọc bài này để hiểu cách bảo vệ hệ thống của mình trước những rủi ro mới từ các công cụ tự động hóa AI trong quá trình kiểm thử và giao dịch phần mềm.