evilsocket:
121 days ago I reported something to Apple, no fixes and no follow ups after my ping yesterday, so here it goes the full disclosure.

Apple CUPS does not verify TLS allowing an attacker on the same network to impersonate any previously used IPPS printer (or any device really) via spoofed Bonjour advertisements and therefore forcing the Bonjour discovery service to (automatically and silently) connect to an arbitrary host (also external to LAN), leaking sensitive information and allowing the attacker to interact with a plethora of other system services in nasty ways. Of course this also allows anyone to intercept, read and modify print jobs on the network, but frankly that is the least impactful attack vector here. https://github.com/apple/cups/blob/master/cups/tls-darwin.c#L1278s

If you use openssl to check your printer TLS certificate on port 631, you'll probably find that the device is using a self-signed certificate, like pretty much all printers I had a chance to test. I have no idea how they're going to fix this without breaking backwards compatibility. I know they want to switch to a Trust On First Use approach, but that's vulnerable as well due to other conditions. This set of vulnerabilities can be easily leveraged by using the ZeroGod bettercap module I've pushed months ago -> https://github.com/bettercap/bettercap/tree/master/modules/zerogod

https://x.com/evilsocket/status/1879846515180511705

Let's Encrypt 计划推出有效期 6 天的短期证书；短期证书还将提供 IP 证书支持。

letsencrypt.org/~

linksrc: https://www.tg-me.com/bupt_moe/2357

#PKI #LetsEncrypt

“Nothing”即将进入中国

瑞金医院普外科主任郑民华等20名上海市政协委员提案《关于在药品集采背景下如何能够用到疗效好的药物》：高血压糖尿病药物、肠镜泻药麻醉药集采后药效不佳，加大药量也不起效。希望放开国产仿制与进口原研药比例限制，把选择权交给医生；落实不良反应报告制度，及时报告疗效存疑的药物。
国家医保局去函上海医保局，要求其联系瑞金医院郑民华，代表国家局致谢并进一步了解具体品种，责成中选企业回应临床关切，确有质量问题的解除采购协议。
要求上海局举一反三，对于临床反映“集采中选药品降价后存在质量问题”的参照跟进，如存在严重质量问题的报药监。欢迎医务人员做药品价格和质量问题的吹哨人。
（东方网，健识局）

2025年1月18日，经济观察网从多个信源获悉，国家组织高值医用耗材联合采购办公室主任、天津市政协委员、天津市医保局医药采购中心主任高雪被调查。 source

特朗普20日在国会大厦圆形大厅宣誓就职，正式成为美国第47任总统。稍早，万斯宣誓就任副总统。
（CBS）

川普签署行政令退出世界卫生组织。

川普计划让美国再次退出巴黎协定。

川普关闭 CBP One，一款关口移民办事工具软件。

川普宣布南部边境进入国家紧急状态，所有非法入境将被暂停。

川普指示内阁应对创纪录的通货膨胀，还将宣布国家能源紧急状态。

川普计划再次充实战略（石油）储备，并将把美国能源出口到世界各地。

川普将把墨西哥贩毒集团卡特尔认定为外国恐怖组织。

川普将建立“对外税收服务”，开始全面改革贸易体系。

川普计划把墨西哥湾更名为美洲湾。

https://mp.weixin.qq.com/s/atKyfC5l-BaStje8-F3FGQ

MIT 协议加允许模型蒸馏？！这下不好说谁才是真正的 OpenAI 了

🚀 DeepSeek-R1 is here!

⚡ Performance on par with OpenAI-o1
📖 Fully open-source model & technical report
🏆 MIT licensed: Distill & commercialize freely!

🌐 Website & API are live now! Try DeepThink at http://chat.deepseek.com today!

🐋 1/n

via Twitter @DeepSeek

特朗普1月20日签署以下行政命令：
自2月20日起，新生儿若父母非美国永居，则不适用宪法14修正案“在合众国出生且受其管辖”，不能取得美国籍。
停止执行入境庇护听证释放候审（catch and release）制度，停办CBP One难民入境预约配额，自1月27日起暂停难民接纳。
“Tiktok不卖就禁”法案暂缓执行75天。他已表示希望Tiktok合资经营，美资占50%。
重新退出世卫组织、退出巴黎协定、将古巴列为支恐国家。暂停对外援助90天。宣告OECD最低企业税协议对美国无效。
暂停审批风电或发放贷款。撤销电动车优惠政策。扩产油气，开发阿拉斯加自然资源。
冻结除军事和移民外的联邦职缺，重新定编制。联邦政府只承认出生时的男女性别，停止内部的DEI多样化计划。
寻求推翻限缩死刑的判例。
特赦或释放“一·六”国会山暴动所有被告或案犯。
更改地名：“美国湾”（墨西哥湾）“麦金利山”（2015年起以阿拉斯加原住民语称为迪纳利）。
（白宫）

openssh 5.7 (2011-01-24)
* scp(1): Add a new -3 option to scp: Copies between two remote hosts
are transferred through the local host. Without this option the
data is copied directly between the two remote hosts.

原来我火星了这么久吗

微信近期灰度测试的功能并不是 CallKit

近期微信新增的 “语音和视频通话用系统接听” 调用的是 LiveCommunicationKit 新 API 而非 CallKit。

此API的调用无须类似 CallKit 那样的特殊权限，不会像CallKit那样锁屏状态全屏弹出，也不会在iOS通讯录留下通话痕迹。
https://linux.do/t/topic/382298

【特朗普关闭白宫官网的西班牙语页面——4340万美国人的第一语言】金十数据1月22日讯，特朗普宣誓就职美国总统几个小时后，新政府就关闭了白宫官方网站的西班牙语页面，该网页目前显示“404”。白宫首席副新闻秘书哈里森·菲尔兹周二回应说，政府“正致力于恢复网站的西班牙语翻译部分。”特朗普就职日颁布了大规模行政令，包括发起打击非法移民的行动。根据2023年美国人口普查局的估计，大约有4340万美国人的第一语言是西班牙语，占美国5岁及以上人口的13.7%。品牌和传播策略师莫妮卡·里维拉说：“这发出了一个信号，即我们拉美裔是‘别人’，是这个国家不那么重要的一部分。”

CVE-2025-0395: Buffer overflow in the GNU C Library's assert()
？？？？？？

Subject: Bits from the Release Team: trixie freeze dates

Hi,

Trying to follow our release cadence, we are going to start freezing
trixie in March. As usual, it is our intention to have a short freeze,
though with the short notice that may be hard. We apologize for not
coordinating this way earlier, and ask everyone to help fix release
critical bugs in order to achieve that.

2025-03-15 - Milestone 1 - Transition and toolchain freeze
2025-04-15 - Milestone 2 - Soft Freeze
2025-05-15 - Milestone 3 - Hard Freeze - for key packages and
packages without autopkgtests
To be announced - Milestone 4 - Full Freeze

Debian 15
=========

The release team has decided that the release after trixie and
forky will be called duke.

For the Release Team,
Emilio

curl docs format evolution
https://daniel.haxx.se/blog/2024/01/23/curl-docs-format-evolution/