Linux 週報：Bing SVG 漏洞在 Microsoft 主機取得最高權限，核心 CVE 爭議持續，IoT 攝影機外洩 GitHub 權杖

微軟 Bing 圖片處理漏洞危及 Linux 工作節點

根據 7 月 24 日發布的報告，一份提交至 Bing 圖片搜尋的特製 SVG，在微軟的正式圖片處理工作節點上以 NT AUTHORITY\SYSTEM 身分執行程式碼，並在同一批叢集中的 Linux 機器上以 root 身分執行。XBOW 的安全研究人員在不同主機上的工作節點重現了此結果，使該漏洞的影響範圍從 Windows 延伸至微軟圖片處理基礎架構的 Linux 部分。

Linux 核心 CVE 數量驟增，重新點燃即時修補討論

7 月 24 日，OSS-Security 郵件清單上出現了一段關於Linux 核心CVE 數量以及線上修補（live patching）價值的討論。John Haxby 指出，Oracle 的系統多年來無需重新開機，同時仍能持續取得安全性更新，強調了線上修補對高可用性部署的重要性。另一位投稿者則將線上修補描述為對那些「無法為了維護而重新開機」的系統「至關重要」，反映出企業在面對持續增加的安全漏洞時，如何讓永遠在線的 Linux 主機保持更新，仍是備受關注的議題。

Hanwha 攝影機韌體外洩內嵌的 GitHub 管理員權杖

7 月 24 日公佈的一份針對 Hanwha Wisenet XNP-9300RW 安防攝影機的韌體分析報告指出，該裝置的登入頁面內嵌了 GitHub 管理員權杖，使採用 Linux 的監控硬體在密鑰管理（secret hygiene）上的弱點受到關注。同一份報告也提到 Axis Communications 致力於讓其所有攝影機都能輕鬆執行 Linux 應用程式，若此方向持續推進，將擴大 Linux 在攝影機上的安裝基礎，而一旦類似的內嵌密鑰不當做法繼續存在，相應的攻擊面也將隨之擴大。

PyPI 發布全新 Linux 桌面工具

7 月 24 日有兩款以 Linux 為重點的工具發布到 Python 套件索引（PyPI）。linux-speech-flow 0.1.6 是一款語音轉文字的桌面應用程式，可在按住熱鍵時，將聽寫的文字直接放入當前可輸入的目標欄位。tuxgenie 6.68.0 則被描述為一款 AI 驅動的 Linux 助理，能以自然語言描述來處理 Linux 問題，旨在降低桌面使用者日常排程所遇到的障礙。