lopdf 深層巢狀 PDF 物件觸發堆疊溢位（RUSTSEC-2026-0187）
RustSec · 2026-06-26
漏洞機制
Rust PDF 處理函式庫 lopdf 0.41.0 及更早版本在載入 PDF 文件時，以無上限遞迴方式解析陣列與字典結構。攻擊者可製作含約 10,000 層巢狀陣列的惡意 PDF（檔案僅約 21 KB），使解析器耗盡呼叫堆疊，觸發 SIGABRT 程序中止。此崩潰路徑繞過 Rust 標準例外處理機制，應用程式無法攔截或恢復。
受影響版本
lopdf<= 0.41.0（所有先前版本）- CVSS 3.1 評分：7.5 HIGH（向量：AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H）
任何對外接受 PDF 上傳或自動處理不受信任 PDF 的服務皆面臨遠端拒絕服務風險，無需認證即可觸發。
修補與緩解
升級至 lopdf 0.42.0（2026-06-23 釋出），該版本在解析器層加入陣列與字典最大巢狀深度限制。修補後，超過深度上限的 PDF 將回傳可恢復的錯誤，而非造成程序崩潰。
# Cargo.toml 更新
[dependencies]
lopdf = "0.42"以配置憑證與 Bootpatch-SLR 強化 Linux 核心記憶體安全
LWN.net · 2026-06-25
背景
Linux 核心長期面臨堆積噴射（heap spray）與記憶體配置預測兩類攻擊向量：攻擊者透過預測核心物件配置位址，繞過 KASLR 保護，進一步達成任意寫入。LWN 於 2026-06-25 報導兩項互補的核心強化提案：配置憑證（allocation tokens）與開機補丁隨機化（bootpatch-SLR），旨在從不同層次提高核心記憶體佈局的不可預測性。
核心改動
配置憑證為核心物件配置器引入每次配置的隨機識別符，使攻擊者即使能夠觸發任意配置，仍無法可靠推斷物件在堆積中的相對位置。Bootpatch-SLR 則針對核心啟動階段的靜態程式碼補丁（static calls、jump labels）施加額外的位址隨機化，彌補傳統 KASLR 在補丁表上的殘餘資訊洩漏。兩項機制均設計為對現有驅動程式透明，不需要修改模組程式碼。
影響範圍
目前提案針對主線核心，預計在後續 merge window 進入審查。x86_64 架構為主要目標平台，ARM64 支援列為後續工作。啟用後將提高針對核心的 use-after-free 與類型混淆漏洞利用難度，與現有 KFENCE、SLAB 隨機化等防禦層形成縱深。
原始來源：LWN.net — Hardening the kernel with allocation tokens and bootpatch-SLR（需訂閱）
EU 網路韌性法（CRA）：容器與軟體發行商的合規要求與時程
Docker · 2026 年近期
背景
歐盟《網路韌性法》（Cyber Resilience Act，CRA）於 2024-12-10 正式施行，是首部橫跨所有硬體與軟體產品類別的歐盟資安基準法規。任何在歐盟市場銷售的含數位元件產品，包括商業發行的容器映像與執行環境，均在適用範圍之內。
核心改動
CRA 要求製造商提供機器可讀 SBOM（SPDX 或 CycloneDX 格式）、實施安全更新機制，並建立漏洞協調揭露流程。2026-09-11 起回報義務正式生效：主動被利用的漏洞須在 24 小時內提交早期預警，72 小時內完成完整通報，適用於已在市場上的產品，不限新版本。2027-12-11 全面執法後，違反基本資安要求最高可處罰 1,500 萬歐元或全球年營收 2.5%。
- 2026-06-11：成員國指定合規評估機構
- 2026-09-11：漏洞回報義務生效（含既有產品）
- 2027-12-11：全面執法，CE 標章強制要求
影響範圍
在歐盟市場商業發行容器映像的開發商屬於「製造商」，需承擔完整義務，包括第三方合規評估與 CE 標章。純非商業開源專案適用輕度監管，免除財務罰款，但仍需建立資安政策並配合漏洞回報。微型企業亦享有部分豁免。
原始來源：Docker Blog — EU Cyber Resilience Act: Overview, Requirements, and Timelines
Android 推出 AI 深偽假電話偵測，透過加密 RCS 驗證通話身份
Google · 2026-06-27
背景
詐騙者已廣泛採用 AI 聲音複製技術模仿聯絡人聲音，搭配 VoIP 號碼偽冒發話方，造成全球每年估計逾 4,000 億美元詐騙損失。Google 於 2026-06 宣布在 Android 的 Phone by Google 應用程式中推出假電話偵測功能，以加密數位握手取代純粹的號碼比對。
核心改動
通話建立時，雙方裝置透過端對端加密 RCS 訊道交換驗證訊號：發話方裝置主動傳送確認，收話方若未收到此訊號，則向聯絡人實際裝置查詢確認。若真實裝置回報並未發起通話，使用者立即收到警示並建議掛斷。整個流程在 Phone by Google、Google 聯絡人與 Google Messages 三者協作下完成，不依賴中央伺服器儲存通話內容。
影響範圍
功能需要Android 12 以上版本，並須同時安裝 Phone by Google、Google 聯絡人、Google Messages，且雙方均已啟用 RCS。2026 年 6 月起全球推出，初期以 Pixel 裝置為優先，後續擴展至更廣泛的 Android 生態系。雙方未同時使用 Phone by Google 時，功能不適用。