F5 的 BIG-IP 防火墙出现 9.8 级严重安全漏洞

上周，F5 披露并修补了一个 BIG-IP 漏洞，黑客可以利用该漏洞执行具有 root 权限的命令。网上可查到的该设备超过 16000 个，F5 称财富 50 强中有 48 家在使用该设备。鉴于 BIG-IP 接近网络边缘，并且作为管理网络服务器流量的设备，它们往往能够看到 HTTPS 保护的流量的解密内容。该漏洞正在被攻击者们积极利用。

消息来源：arstechnica

老王点评：安全设备出现了严重安全漏洞，这可影响非常大。

美国林肯学院因勒索软件攻击而永久关闭

林肯学院宣布将于本周五 5 月 13 日永久关闭，成为第一所因勒索软件攻击而倒闭的美国高等院校。林肯学院以林肯总统的名字命名，1865 年动工，至今有 157 年历史。它经历了两次世界大战、西班牙流感和大萧条，但无法应付新冠疫情和去年 12 月发生的勒索软件攻击。去年 12 月林肯学院遭到了勒索软件攻击，影响到了 2022 年秋季招生。虽然该学校的系统到 3 月完全恢复，但为时已晚，招生缺口巨大。

消息来源：nbcnews

老王点评：就算是百年老校，也禁不住这样折腾啊，这个时代不确定性太多了。

SteamOS 开源分支发布首个版本

SteamOS 是基于滚动发行版 Arch Linux 的。Valve 在三月初释出了 SteamOS 系统恢复镜像，帮助 Steam Deck 用户将掌机恢复到出厂状态。爱好者们随后尝试在普通 PC 上安装 SteamOS，发起了 HoloISO 项目。该项目刚刚释出了首个版本 Ground Zero，可以让 SteamOS 能安装在任何 PC 上。

消息来源：neowin

老王点评：我想，以 Valve 的开放态度，应该是默许支持这样的社区行为的。

谷歌要用新的安卓软件包格式取代 APK

自 2008 年安卓发布以来，其软件包一直是 APK 格式。但谷歌想要更好的控制安卓应用的发布，宣布从 8 月开始上传到 Play 商店的应用必须使用安卓应用打包格式 AAB。谷歌是在 2018 年推出 AAB 的，其背后动机是安卓支持的语言、CPU 架构和屏幕分辨率越来越多，单一的版本太占空间，因此通过提供多个 APK 文件集合，由 Play 商店根据相应的设备提供相应的特定 APK。但从 APK 切换到 AAB，谷歌对安卓生态系统有了更大的控制，因为 AAB 需要 Play 商店的云计算进行处理，增加了第三方应用商店的工作和困难。

假借技术之名的垄断之举，是谷歌对安卓的开放生态的收割。

暂缓废除第三方 cookie 后，谷歌提出第二种替代方案

在谷歌提出的 FLoC 方案遭到业界的联合反对之后，上周，谷歌提出暂缓废除第三方 cookie，允许它们存活到 2023 年底。现在，谷歌提案了一种新的“分区 cookies” 方案 CHIPS。该提案要求第三方服务器可以设置 Cookie，但只能在最初设置 Cookie 的第一方网站范围内读取，而不能在其它也设置该 Cookie 的网站中读取。

这个方案似乎不错，而且 FireFox 和 Safari 也实现了类似的方案。

多个托管服务提供商遭遇 REvil 供应链攻击

REvil 勒索软件团伙又盯上了拥有数千名客户的多个大型托管服务提供商，大约有 200 家企业被加密。所有受影响的托管服务提供商都在使用 Kaseya VSA，且有证据表明他们的客户也受到了影响。Kaseya VSA 是一个基于云的 MSP 平台，允许提供商为客户执行补丁管理和客户端监控任务。Kaseya 在网站上发布了安全公告，警告所有 VSA 客户立即关闭他们的服务器，以防止事态的进一步蔓延。

利用供应链攻击进行的勒索攻击其影响广泛，目前看起来还没有特别好的方法。