时间线:
看起来飞牛是发现这个漏洞会被黑客利用才需修复的,并且到现在仍未对未升级的版本在 FN connect 中进行保护
 |
1
 |
 |
dushixiangFeb 2
2
6
|
 |
minamiFeb 2 via Android
3
那就不得不怀疑到底是后门还是漏洞了😅
|
 |
curtinpFeb 2
4
哈哈 摔锅 《 HTTP 协议导致的》 才是最骚的
|
 |
thevitaFeb 2
5
很明显：团队没有懂安全的人，也没意识到需要这样一个角色
|
 |
wuzhewuyouFeb 2 via Android
6
随便写个 web 下载功能，ai 都会提醒这个注意路径跨越漏洞
|
 |
wonderfulcxmFeb 2 via iPhone
7
口碑遭遇滑铁卢
|
 |
lisxourFeb 2
8
我们技术是没问题的，那是你们用 http 才导致的！
 |
 |
alfaweiFeb 2
9
@wonderfulcxm 有些狂热粉丝这类的人还是不以为然
|
 |
HephaistosFeb 2
10
路径跨越你开网站出现，当地网安都会上面让你整改的
|
 |
11
资源不够/关注度可能更侧重功能
我有一个观点,其实很多公司在初期基本都是如此,内部很乱, 都是一堆问题, 熬过去了,有钱了, 才会慢慢正常 飞牛就是还没过这个阶段,结果问题先暴露而已, 很多都熬过这个阶段, 其实早先也是一堆问题,就是没有爆而已 |
 |
a9htdkbvFeb 2
12
悲报，飞牛论坛打不开了
|
 |
colleryFeb 2
13
我也发现打不开了
|
|
14
@jjx #11
但是这种可随意下载设备内任意文件(包括机器私钥/usr/trim/etc/rsa_private_key.pem 、云盘绑定的 secret 、smb 挂载的明文密码、用户的文件等)的安全问题, 完全不能用正常的修复 bug 的态度去排期, 需要立即制定应对措施和修复. 后续造成用户的设备被入侵变成肉鸡, 也是因为下载了机器私钥用它生成 token, 再搭配飞牛的其他的漏洞, 可执行任意的命令, 导致的. 复现代码: https://github.com/bron1e/fnos-rce-chain |
 |
unusualcatFeb 2
15
@a9htdkbv 福报一波接一波。。。
|
 |
coderzghFeb 2
16
论坛还在避重就轻的说用户是 放公网+http 导致的，建议升级 https ，团队一点点安全能力都没有，目录穿越跟 http/https 有毛的关系。。。
|
 |
tomatocici2333Feb 2
17
 论坛打不开了.. |
 |
MiKing233Feb 2
18
这个 bug 至少在 0.9.2 上就存在了, 这个 release 是 25 年 6 月的, 也就是说最起码存在半年以上了, 然后最早是去年 12 月有人在公开渠道(飞牛论坛)报告了这个漏洞, 但仍然未能得到重视, 责任在谁认知没问题的都能看清楚
|
 |
yuPD97Yeed4QM245Feb 2 via iPhone
19
肥牛显然是破坏了 NAS 玩家的信任
|
1
Select Language