空空对月 @[email protected]

昨天在井之头公园发现有人堆了一个特别特别好的姆明🥹双脚已经开始有点化掉了，想想它今天应该会融化就有点舍不得走陪它坐了一会儿

太长不看PSA：大家务必确认自己的实例已经更新到最新版本！⚠️

最新版本号（满足其一即可）：4.3.1+, 4.2.5, 4.1.13, 4.0.13, 3.5.17

刚才好奇看了一下Mastodon这周声势浩大推送的安全补丁到底是啥，结果吓了一跳。这个漏洞利用起来没有什么难度，任何恶意实例都可以通过构造ActivityPub的内容，利用一个跳转机制来用将一个真实的嘟文id和任意恶意内容打包返回并被接受（impersonation）。

用人话说，如果你所在的实例没有修复这个漏洞。你看见的跨站嘟文（特别是公轴上的）不光可能是伪造的，而且会顶着一个真实存在的（你信任的）账号。

这个漏洞从长毛象诞生就存在，直到这周被修复。

长毛象的特色就是它的去中心性，因此任何针对跨实例交流可信度的攻击都是致命的。也难怪这次漏洞补丁官方提前了好几天预告，且在发布当天（2/1）email、时间轴轮番轰炸站长。

可是我刚才看了一下，还有相当多的实例没有更新（见图）。官方会在2月15日放出漏洞的详细信息，届时没打补丁的实例很有可能被伪造信息淹没。所以还是想提醒大家一下，打扰了！

@board