Jansfer – 长风破浪会有时，直挂云帆济沧海

dedecms早期版本获取客户端IP的函数GetIP，对HTTP_X_FORWARDED_FOR数据没有进行任何的判断和处理，可能导入IP数据入库时被注入。解决办法是升级dedecms或者复制最新版本代码里的该函数替换。

注意：本文使用了“早期”及“可能”等字眼。只是发现不代表任何立场，同时dedecms新版本已经解决了该问题，您需要的是跟进新版本。

Linux的udev程序再爆本地提权漏洞，本地用户可以轻易获得root权限，请立即更新udev程序。（2.4内核系统不受影响）
修复方法(修复前请备份重要数据)：

debian用户请执行apt-get update ; apt-get upgrade -y

centos用户请执行yum update udev

RedHat用户请使用官方rpm包更新或者购买RedHat的satellite服务。

攻击效果展示： 
libuuid@debian:~$ sh a 890
sh-3.1# id
uid=0(root) gid=0(root) groups=105(libuuid)
sh-3.1# cat /etc/debian_version
lenny/sid
sh-3.1# dpkg -l | grep udev
ii  udev                              0.114-2               /dev/ and hotplug management daemon

现在确认的是此攻击方式对Debian和Ubuntu相当有效，对RedHat的攻击效果有待确认。

最新战况请查阅 http://baoz.net/linux-udev-exploit/