目前看到只有 26.04 打完 kernel patch,
24.04 以前都是先塞 /etc/modprobe.d/disable-algif_aead.conf 擋著。
試了一下 24.04 的 kernel 6.8.0-111 載入 algif_aead 還是能打洞
，然後只要一被打穿 rmmod 就沒用了，reboot 之前都能跑無密碼 su，慘。

pm 01:23:41

Bine

清 page cache。不用 reboot

pm 01:24:39

Kuan-Yi Li

所以我才說算 mitigation 不是 fix

it works, thx

正常來說塞了檔案就沒辦法載入了

你是在那之前就載入過了吧

yes

參考 https://copy.fail/#mitigation

你需要執行rmmod

thx, 我知道這個 mitigation
我只是為了要測試 kernel 是否已經有 patch 才載入 mod 試試

pm 01:50:01

James58899

塞modprobe比較方便，不用重開也能生效，只要之前沒載入過

請跟軟體發布者反饋問題

https://www.facebook.com/share/1ZytUppqzb/

並沒有

單純流量大了點而已

把官網打死又不能阻止更新

如果真是攻擊那也是很菜

https://www.threads.com/@hkepc/post/DXyocPMGZ93

恐怖組織所為

Snap 是不是無法做 mirror？如果是還真救不了它……

4
就看 CDN 的架構撐不撐得住

邊緣運算

launchpad 是不是掛啦

死完了

Canonical／Ubuntu 遭分散式阻斷服務（DDoS）攻擊已超過 15 小時（★ 98 分）

Canonical 與 Ubuntu 官方狀態頁指出，其 Web 基礎設施正遭受持續性的跨國攻擊，團隊正在處理中，後續將透過官方管道發布更多資訊。頁面本身沒有列出各項服務的細節，僅顯示所有狀態區塊均已停用；從 Hacker News 標題與討論脈絡來看，外界普遍將此事件視為已持續超過 15 小時的 DDoS（Distributed Denial-of-Service，分散式阻斷服務）攻擊。

討論中有不少使用者提到實際影響，包括 Snap 套件系統無法正常使用、Snapcraft 另有獨立狀態頁，以及部分人因 Slack 的 Snap 版本出問題而無法順利降版或更新。也有人指出，packages.ubuntu.com 近幾週曾多次難以連上，導致 apt-get 更新耗時很久；Livepatch（Ubuntu 的核心即時修補服務）等更新相關服務若受波及，可能會放大系統修補延遲的影響。

社群最關注的猜測，是這波攻擊是否與近期公開的 copy.fail 漏洞修補有關。部分留言認為，攻擊者可能想阻礙 Ubuntu 使用者取得修補套件，藉此延長可攻擊窗口；也有人認為更可能是勒索犯罪、國家級對手或情報單位所為，而非競爭對手。另有留言補充，Ubuntu 似乎已發布暫時停用受影響模組的修補方式，但尚未看到對該模組本身的完整修補。

技術討論也對 copy.fail 的風險做了修正：有熟悉核心安全的人指出，copy.fail 比較像是 Linux 核心中 AF_ALG（核心加密 API 介面）相關的本機權限提升漏洞，而非單靠網路就能直接入侵的 RCE（Remote Code Execution，遠端程式執行）漏洞；若服務允許不受信任的原生程式碼接觸這類核心介面，本身隔離架構就已經很脆弱。討論者因此提到，執行不受信任程式碼的環境通常需要嚴格沙箱、虛擬化隔離，或像 Android、ChromeOS 那樣縮小核心攻擊面。整體氣氛一方面同情 Canonical 團隊在假期或高壓情境下處理事故，另一方面也凸顯開源基礎設施在重大修補發布時，容易成為攻擊與流量壓力的集中目標。

👥 33 則討論、評論 💬
https://news.ycombinator.com/item?id=47972213

幾乎全掛

你最大的資安漏洞，就是爛透的薪資待遇 （★ 76 分）

作者以自己待業第 4 個月的一次面試開場：一個標示為「Base Compensation」的資深技術職缺，面談最後才被告知薪資範圍其實包含所有報酬，底薪上限低於 MIT 生活工資計算器所列三名成人家庭的生活工資門檻；而該職位卻要負責雇主整個技術資產，包括交換器、防火牆、資料庫、伺服器、電話、筆電、雲端、門禁系統與所有資料，而且公司屬於公共安全領域。作者認為，這種把關鍵信任職務壓到基本生活成本以下的做法，不只是招募問題，而是企業最嚴重的資訊安全與營運風險。

文章核心論點是薪資除了購買勞力，也是在維繫社會契約與企業自身安全。作者把薪資形容為某種「保護費」：它不是只在補償勞動，也是在換取員工不怠工、不罷工、不蓄意破壞、不把組織推向工會化，並願意在壓力下維持專業標準。他指出，近幾十年薪資成長與生產力脫鉤，員工在房租、食物、醫療、托育與教育成本上持續退讓，甚至放棄買房、退出雇主醫療保險、仰賴食物銀行或兼差；同時經濟走向 K 型經濟（高資產族群向上、低資產族群向下分化）。在這種背景下，企業若仍把薪資視為可以無限下壓的成本，就會把生存壓力轉化為內部風險。

他用註冊會計師（CPA, Certified Public Accountant）與技術人員說明風險如何具體化：會計人員知道帳目、供應鏈成本與財務弱點，若長期感到被剝削，可能選擇吹哨、把商業機密帶去競爭者，甚至挪用資金；系統管理員、網路架構師與系統分析師則握有系統、資料、端點設備與實體據點的高度權限，過去較高薪資本質上是在購買信任。作者批評企業把工作交給代管服務供應商（MSP, Managed Service Provider）、移往海外、仰賴受雇主簽證綁定的 H-1B（美國專業職位工作簽證）勞工，甚至被北韓遠端工作者滲入，現在又試圖以人工智慧（AI）工具取代專業人員；但 AI 代理工具已有誤刪正式環境資料庫等案例，而開放原始碼也因資金與接班者不足而更加脆弱。文章最後把風險擴及速食、零售、保全與外包人員：當員工連屋頂、水電或胰島素都難以負擔時，再多技術控制也無法確保他們會投入、謹慎並守住安全流程。

Hacker News 討論大致分成幾條脈絡。一派認同作者對資產所有權的批判，認為現代經濟獎勵持有房產、股票與繼承財富，而非 40 小時工作的穩定回報；有人以英國為例，指出不少領取政府補助者其實有工作，首次購屋也常仰賴父母資助，凸顯從零開始累積資本越來越困難。也有人把問題描述成企業間的囚徒困境（prisoner’s dilemma）：單一公司提高薪資可能在短期成本上吃虧，但全體公司都提高薪資，員工壓力降低、消費能力提升、留才與制度知識累積才會改善，因此最低薪資、全民基本收入（UBI, Universal Basic Income）或公共化基本服務被拿來討論。另有留言指出，善待員工的投資報酬往往延遲多年才出現，這使管理層更容易追逐短期股東價值。

反對者則認為作者語氣過度激烈，尤其美國科技業年薪 10 萬美元以上在西歐或東歐標準下已屬高薪，把薪資稱為「保護費」或暗示破壞行為並不合理；也有人主張薪資由供需決定，不應直接以房價中位數作為衡量基準，住房問題應回到地方政策與市場結構處理。對此，其他留言回應，跨國薪資比較若忽略生活成本並不公平，而員工在經濟低迷時接受低薪，景氣好轉後很可能離職，企業仍會承擔留才與重新訓練成本。整體討論肯定薪資、信任、資安與組織穩定之間有明確關聯，但對科技業薪資是否已低到構成普遍危機，以及社會衝突是否接近臨界點，分歧相當明顯。

👥 35 則討論、評論 💬
https://news.ycombinator.com/item?id=47971134

笑死，好真實

其實我覺得駭客團體只是出來刷存在而已，我看rsync和論壇都沒事，真的攻擊的話應該要直接把整個網路打死吧

pm 10:53:43

James58899

感覺就apache扛不住那麼多流量而已，而且launchpad本來就整天在死掉了

pm 11:01:54

James58899