关注钛媒体每日、每月整理发布的行业坏消息榜，一榜略尽当日最具影响的坏消息。

　　肆虐全球Windows设备的“永恒之蓝”勒索病毒攻击余波未平，直播，一个Linux版的“永恒之蓝”又出现了。360官方博客近日紧急发布了Samba远程代码执行漏洞警报(CVE-2017-7494)。

　　Samba是在Linux和Unix系统上实现SMB协议的开源软件，正广泛应用在Linux服务器、NAS网络存储产品以及路由器等各种IoT智能硬件上。

　　与Windows相比，更容易被攻击

　　360方面介绍，与Windows版的“永恒之蓝”相比，Samba漏洞相对比较简单、更容易被攻击，而且同样威力巨大，可以远程执行任意代码。其漏洞攻击工具也已在网上公开，很可能被不法分子恶意利用。

　　对普通个人用户来说，Samba漏洞会对各种常用的智能硬件造成严重威胁。例如，全球流行的路由器开源固件OpenWrt就受到Samba漏洞影响，可能导致路由器被黑客控制，劫持或监听网络流量，甚至给上网设备植入木马。此外，包括智能电视等设备中，Samba文件共享也是常用的服务。

　　针对各类智能硬件用户，建议用户及时关闭路由器、智能电视等设备的Samba文件共享服务，等待固件进行安全更新后再开启Samba。

　　针对使用Samba的服务器管理员，360方面也提出了安全更新建议。

　　技术分析

　　如官方所描述，该漏洞只需要通过一个可写入的Samba用户权限就可以提权到samba所在服务器的root权限（samba默认是root用户执行的）。

　　从Patch来看的话，is_known_pipename函数的pipename中存在路径符号会有问题：

　　再延伸下smb_probe_module函数中就会形成公告里说的加载攻击者上传的dll来任意执行代码了：

　　今日 坏消息榜单 NO.2-NO.7

　　微信出现“远程弹窗漏洞” 已被紧急处理

　　今早，众多网友反映：微信出现了XSS漏洞，可以在朋友的手机上远程弹窗！按照网友的说明，去微信搜索朋友圈“红包”，果然手机蹦出来一个弹窗“完蛋了”。很快，atv直播，各种奇葩的“弹窗游戏”占据了朋友圈。相关网络安全从业者称这是一种类似XSS（跨站脚本攻击）的玩法。

　　小米发布会直播却被华为Logo霸屏 这锅爱奇艺来背

　　小米Max2发布会于昨天下午举行，然而让人大为意外的是，在发布会的视频直播中，居然出现了长达近2分钟的华为Logo，一时间场面非常尴尬，不过官方很快恢复了信号源。一时不少米粉以为小米发布会被华为“黑了”。发布会结束之后，此次发布会的直播服务商爱奇艺对此进行了回应，称是设备故障。

　　ofo小黄车被指押金难退 用户联系客服后问题仍未解决

　　近日，交通部会同多部门起草了《关于鼓励和规范互联网租赁自行车发展的指导意见（征求意见稿）》，向社会公开征求意见。意见中交通部对备受关注的共享单车押金一事作出了表态，未来将加强用户资金安全监管，鼓励互联网租赁自行车运营企业采用免押金方式提供租赁服务。不过，《指导意见》提出之后，摩拜和ofo小黄车并没有第一时间对交通部提倡的免押金作出回应。减免押金的事情还未提上日程，却有多名用户爆料称自己在ofo小黄车所缴纳的押金无法退回。

　　崔永元微博会员到期骂新浪 却闹了一个天大的笑话

　　今日上午，反转基因斗士崔永元在微博上再次开启“吐槽”模式，称自己的会员标志不见了，怀疑是新浪搞的鬼。崔永元微博原文：“从今天开始，我突然变为新浪微博普通用户，一些功能也开始不好使。没啥，而今网络环境VIP算个屁？没啥，你们就是全网封杀，我都觉得没啥。我最烦悄悄动手脚，干就明着干，那么多职业人，留着孵鸡啊。”当然吃瓜群众看不下去了，称这是崔永元自己的会员到期了，由于没有续，所以取消了会员待遇。

　　网络安全研究人员发现新漏洞：或成另一个WannaCry

　　网络安全研究人员周四称，在使用广泛的一种网络软件中新被发现的一个漏洞令数以万计的电脑可能容易遭受类似于WannaCry病毒的攻击，这种病毒已导致全球范围内的30多万台电脑受到了感染。美国国土安全部周三宣布了这个漏洞，并敦促用户和管理员打好补丁以防感染。该漏洞可被黑客利用来接管受感染的电脑。

　　又见猪队友：iPhone 8保护壳泄漏 被人买到了