GitHub 修复允许任意代码执行的漏洞；微软暂停推送 10 月更新

（点击上方蓝字，快速关注我们）

转自：开源中国、solidot、cnBeta、腾讯科技等

0、GitHub 修复了允许任意代码执行的安全漏洞

GitHub的安全列表表示，如果执行了特定的命令，即“git clone --recurse-submodules”，其软件中的漏洞允许在客户端平台上执行任意代码。它解释说：

运行“git clone --recurse-submodules”时，Git会解析提供的.gitmodules文件中的URL字段，并将其作为参数盲目地传递给“git clone”子进程。如果URL字段设置为以短划线开头的字符串，则此“git clone”子进程将URL解释为选项。这可能导致执行超级项目中的任意脚本作为运行“git clone”的用户。

在一篇博客文章中，微软澄清了这个问题仅仅影响基于Unix的平台，如Linux和macOS，或适用于在Windows子系统Linux（WSL）的Linux发行版中运行git的人。这是因为在利用漏洞时写入磁盘的文件名称中需要冒号，并且由于Windows文件系统不支持冒号，因此Git for Windows不会写入该文件。

该公司还注意到其在任何平台（macOS，Windows）上使用Git的Visual Studio产品不受影响，但GitHub仍然建议用户升级到Git版本2.17.2,2.18.1和2.19.1。

1、问题严重了，微软暂停推送 Windows 10 月更新

有用户报告在更新系统后遭遇各种问题，如 Intel Display Audio 设备驱动程序发现一个兼容性问题，该问题可能会导致处理器需求过多，并缩短电池使用寿命，更为严重的问题是在更新后 C:/Users/[username]/Documents/ 文件夹下的

在这些问题报告越来越多之后，微软暂停了 10 月更新的推送。微软在 Windows 10 update history 文档中称，它正在调查在更新之后部分文件丢失的孤立报告。Windows 10 October Update 目前不再提供下载，微软建议已经手动下载安装包的用户暂时不要更新，等待新的安装包释出。微软表示将会在恢复下载之后提供更多信息。

2、ElasticSearch 公司上市，市值近 50 亿美元

以 Elastic 之名进行交易的数据搜索软件初创公司 ElasticSearch 于今天在美国上市。ElasticSearch 创办于 2012 年，以 ElasticSearch 的搜索开源产品知名，如 Elastic Stack（包括 ElasticSearch、Kibana、Beats 和 Logstash）等。

目前，ElasticSearch 拥有 5000 个客户，覆盖 80 多个国家。2018 财年营收 1.6亿美元。其中 93% 来自于订阅费，美国以外的贡献占据了 39%。

3、Node.js 基金会和 JS 基金会准备合并

10 月 4 日，Node.js 基金会和 JS 基金会宣布了合并意向。合并意向意味着两个基金会的董事会已同意公开讨论与可能合并的有关事情。目前尚未做出任何关于新成立或合并后基金会的潜在的组织结构、治理政策、技术框架或领导权的任何正式决定。这将根据 Node.js 和 Javascript 社区的反馈正式确定。

觉得这些资讯有帮助？请转发给更多人

关注 技术最前线 ，看 IT 要闻