本周，我们将讨论几个高危漏洞，一个在OpenSSL，另一个在Django。我们还将讨论现在支持的Linode上的Kali Linux发行版。
Openssl中潜在的远程代码执行
Openssl 是一个免费开源软件（FOSS） CLI 库，可用于生成私钥、生成证书签名请求（CSR）、配置和安装 SSL/TLS 证书以及验证证书信息。
OpenSSL 3.0.4版本有一个安全漏洞，容易造成远程内存损坏，可由远程攻击者触发。基本问题涉及在运行AVX512IFMA指令集的x86_64 CPU的机器上使用2048位私钥的RSA实现不正确，在计算过程中会造成内存损坏。因此，攻击者可以造成内存损坏，使他们能够在服务器上执行远程代码。根据该公告，"在支持x86_64架构的AVX512IFMA指令的机器上运行的SSL/TLS服务器或其他使用2048位RSA私钥的服务器受此问题影响"。
值得注意的一点是，在有漏洞的机器上，对OpenSSL的适当测试会失败，应该在部署前注意到。
任何在机器上安装了OpenSSL 3.0.4的用户应该升级到OpenSSL 3.0.5。OpenSSL 1.1.1和1.0.2不受这个问题的影响。要检查你是否受此影响，请在终端上运行`opensslversion`，看看你的机器上安装的openssl是什么版本。
Django的SQL注入漏洞
Django是一个基于python 的网络框架，能够实现快速开发，同时倾向于务实和简洁的设计。
Django有一个SQL注入，影响到4.0.6和3.2.14以下的版本。Trunc() 和 Extract() 数据库函数有漏洞，如果不受信任的数据可以作为 kind/lookup_name 的值被传递，就会发生 SQL 注入。根据你安装django的方式，你可以知道你的机器是哪个版本的django。如果你使用pip安装django，那么你可以运行`pip3show django`来获得你的django版本。
该漏洞的补救措施是将你的django版本升级到3.2.14和4.0.6。
缓解措施： 如果你无法修补你的django版本，你可以限制你的应用程序，其中查询和种类选择与已知的安全列表相关联。
Kali Linux在Akamai Linode云上可用
对于正在阅读此文的黑客、五角大楼、漏洞赏金猎人、业余爱好者或有抱负的安全专业人士来说，我们有Kali Linux作为一个交钥匙的云实例。
我们有一个官方的Linode Kali发行版，作为一个轻量级的最小安装，包含了操作Kali所需的最基本的东西。最低限度的安装可能没有包含你所需要的一切。如果你想为你的使用情况添加额外的软件包，那么强烈建议你遵循这里的说明。Kali自带的默认桌面环境（DE）界面是XFCE，它比其他DE（如GNOME或KDE Plasma）的资源消耗要少。
如果想要在 Kali 实例上安装图形用户界面，也可以下载Kali LinuxMarketplace 应用程序。
注释