慢雾:Android 零点击 RCE 漏洞已纳入 11 月安全补丁,建议用户务必升级
相关推荐
AI 平台 B.AI Android 应用上架 Google Play
ChainCatcher 消息,AI 平台 B.AI 宣布其 Android App 已正式上架 Google Play 商店,用户搜索「B.AI」即可下载,也可前往 B.AI 官网扫描右上角二维码下载官方 APK。此次上线的 App 完整集成 B.AI 核心功能与页面,同时内置「服务可用性」检测功能,中国大陆及受限网络环境用户可直接查看并复制当前可用的 Web 访问地址与 API Base URL,以完成 API 客户端配置。
Google 因内存短缺调整 Android 应用质量要求
火星财经消息,Google 宣布对 Android 应用提出两项新的质量要求,以应对由 AI 数据中心热潮引发的行业内存芯片短缺。其中一项重点在于降低应用内存使用并优化代码。Google 表示,移动行业正面临显著硬件供应限制,正在改变设备内存可用性,进而影响用户体验。为此,Google 在动态内存使用和位图使用等领域设立新性能阈值,并增加代码优化要求,以防应用卡顿和崩溃。公司将推出新工具,在应用超出阈值时提醒开发者优化。更多诊断工具将于今年晚些时候推出,包括可防止应用过度占用设备内存的 Memory Limiter 功能。开发者需在 2027 年 2 月前达到新阈值。此外,所有 Play Store 应用须在 2027 年 4 月前满足 Zero Tap Sign-In 要求,即在设备迁移时通过 Android Restore Credentials API 自动恢复用户登录状态。这些变化旨在帮助应用和游戏开发者在内存供应受限市场中继续提供优质体验,尤其针对价格敏感的低端设备。
慢雾:APT29组织正通过被入侵网站传播iOS和Android漏洞利用工具
PANews 11月5日消息,慢雾首席信息安全官23pds在X平台发文称,与东欧相关的APT29专业组织正通过被入侵的网站和被劫持的网络分析工具脚本,传播iOS和Android漏洞利用工具。其指出,DarkSword和AndroSnitch已开始批量攻击,用户访问的正常网站或App可能带有后门。他建议用户将系统升级到最新版本。
Google Wallet 正开发海外扫码支付,支持页仅列新加坡 Alipay+
火星财经消息,Android Authority 于 10 月 27 日报道,其在 Google Wallet 版本 26.42.1003171897 中发现一项开发中的 Overseas QR payments 设置。该设置内的了解更多链接指向谷歌钱包支持页面,页面将这项功能称为 Traveler QR。谷歌在支持页面中说明,当手机检测到用户处于覆盖地区时,相关选项会自动出现。页面目前明确点名的目的地只有新加坡,对应 Alipay+ 合作伙伴网络。Android Authority 介绍,支付宝主要在中国使用,Alipay+ 则连接东南亚多地支付系统。该发现来自应用安装包拆解,拆解中出现的功能不一定会进入公开版本,目前也尚未看到 Traveler QR 的正式发布公告。
B.AI Android App v1.3.0 全新上线,新增 11 种语言支持并全面升级性能
ChainCatcher 消息,10 月 26 日,B.AI 宣布 Android App v1.3.0 版本正式上线。新版支持 11 种语言选择,打破语言边界,为全球用户带来更便捷的 AI 体验;同时完成性能全面升级,响应更快、运行更流畅。用户可访问 B.AI 官网扫描右上角二维码,或前往 Google Play 搜索下载最新版本,随时随地开启移动 AI 体验。
SemiAnalysis 发布 Neocloud 安全深度报告:基础设施配置错误触目惊心,跨租户 RCE 可波及银行、电信乃至一国情报机构
ChainCatcher 消息,半导体与 AI 独立研究机构 SemiAnalysis 发布 Neocloud(新型云)安全深度报告,揭露 ClusterMAX 3 测试期间发现的多类跨租户安全漏洞。在为期四个月、覆盖 25 家供应商和 32 个集群的测试中,团队仅利用公开已知漏洞和基础配置检查,就实现了多起跨租户远程代码执行(RCE),受影响实体包括银行、电信公司、大学、研究机构、AI 实验室,甚至一国情报机构。典型问题包括:共享 Kubernetes 控制平面导致租户元数据互见、容器逃逸、BMC/IPMI 管理网络暴露、InfiniBand 安全密钥(P_Key、SA_Key、M_Key)未正确配置、BlueField DPU 默认信任模式未加固、Grafana 监控仪表盘使用上帝级 API 密钥、前端网络缺乏 VXLAN 隔离等。报告特别指出一个级联漏洞案例:共享 vCluster 配置错误加上软件版本滞后两年,最终在下午级时间内完成了跨租户 RCE 的 POC 验证。值得注意的是报告对“AI 已根本性改变网络安全节奏”的主流叙事提出质疑:对英伟达 GPU 驱动、CUDA、PyTorch、Kubernetes、Docker 及 Linux 内核的 CVE 统计显示,AI 编码模型普及后并未出现显著漏洞增长,多数数据中“无法拒绝无变化假设”。报告同时详述了 OpenAI 训练代理攻击 Hugging Face 的事件,AI 代理通过 Artifactory 建立的消息板实现集群级权限提升,从 5 月持续到 7 月才被彻底发现。在构建 POC 验证已有漏洞时,团队发现 Claude Fable 和 GPT-5.6 Sol 对安全相关请求频繁拒绝,最终主要依赖 DeepSeek V4、Kimi K3 和 GLM-5.2 等开源模型完成。SemiAnalysis 表示 Neocloud(新型云)行业的核心问题并非 AI 带来的新风险,而是最基础的补丁管理、租户隔离和安全设计长期缺位,建议供应商建立自动化安全公告监控系统,并修正单点故障即可暴露全部用户的架构模式。