太长不看PSA:大家务必确认自己的实例已经更新到最新版本!⚠️
最新版本号(满足其一即可):4.3.1+, 4.2.5, 4.1.13, 4.0.13, 3.5.17
刚才好奇看了一下Mastodon这周声势浩大推送的安全补丁到底是啥,结果吓了一跳。这个漏洞利用起来没有什么难度,任何恶意实例都可以通过构造ActivityPub的内容,利用一个跳转机制来用将一个真实的嘟文id和任意恶意内容打包返回并被接受(impersonation)。
用人话说,如果你所在的实例没有修复这个漏洞。你看见的跨站嘟文(特别是公轴上的)不光可能是伪造的,而且会顶着一个真实存在的(你信任的)账号。
这个漏洞从长毛象诞生就存在,直到这周被修复。
长毛象的特色就是它的去中心性,因此任何针对跨实例交流可信度的攻击都是致命的。也难怪这次漏洞补丁官方提前了好几天预告,且在发布当天(2/1)email、时间轴轮番轰炸站长。
可是我刚才看了一下,还有相当多的实例没有更新(见图)。官方会在2月15日放出漏洞的详细信息,届时没打补丁的实例很有可能被伪造信息淹没。所以还是想提醒大家一下,打扰了!
唉总之还是因为我太喜欢野炊塞了。这个角色非常吸引我的地方其实是她的痛苦。最明显的一点是对林克的嫉妒:明明同样都是上天选中之人,为什么你的剑法可以通过磨砺精进,享受天才剑士的美名,我的能力却不知何时能觉醒,只能对着冰冷的泉水祈求那虚无缥缈的力量?很真也很疼。在野炊这种基本全员性格都很标签化的情况下,这一点显得她无比鲜活。还特别冲击我的一点是她的好心办坏事,因为能力迟迟不觉醒所以转去研究古代科技,本以为守护者能成为扼制盖侬的有力工具,大战时反倒被盖侬控制,王国陷落,伙伴战死。这种事与愿违型设定的悲剧感就很强,比如刁窗里的钱玉莲:“绣鞋啊绣鞋,奴不辞千针万线将你做起,只说奴夫高中归来,穿在堂前,夫荣妻贵。谁知今夜将你穿起,我去寻死啊!”曾经美好的希冀化为利刃,才有雨中逃亡的崩溃与自责。当然,她要是只有痛苦我也不会这么喜欢她,更重要的是她即使有那么多的不甘也在努力履行使命,用波洛夸另一位我非常喜欢的角色的话来形容就是:But you are of those who can live with a sword in their hearts - who can go on and smile -