漏洞揭露 | iThome

| GitLab | CVE-2024-4835 | 漏洞揭露

GitLab揭露高風險漏洞，未經身分驗證的攻擊者可發動XSS攻擊接管帳號

本週GitLab針對社群版（CE）及企業版（EE）發布更新，修補一系列漏洞，其中最值得留意的部分，是能藉由IDE工具觸發的高風險漏洞CVE-2024-4835，若不修補，攻擊者可用於洩漏使用者機密資訊

2024-05-24

Intel發布5月例新更新，修補人工智慧模型壓縮工具重大漏洞

在5月份Intel發布的資安公告當中，他們針對人工智慧模型壓縮工具Neural Compressor重大漏洞CVE-2024-22476進行修補，而這是本次公布危險程度最高的漏洞

2024-05-20

Android裝置App的資料共享方式有資安破口，研究人員揭露能以此發動的攻擊手法Dirty Stream，影響範圍廣大

近期微軟針對安卓裝置公布名為Dirty Stream的攻擊手法，並指出光是他們在Google Play市集找到存在相關弱點而可被當作攻擊目標的應用程式，就已被下載超過40億次，而且，當中有4款是被下載超過5億次的熱門應用程式

2024-05-20

網路效能監控工具Flowmon存在危急漏洞，恐被用於執行系統層級命令

本月初Progress修補網路效能監控工具Flowmon危急漏洞CVE-2024-2389，通報此事的研究人員公布概念性驗證攻擊，並指出若不修補，攻擊者有機會藉此取得root權限

2024-04-26

| Palo Alto Networks | EDR | Cortex XDR | 漏洞揭露

Palo Alto Networks旗下的EDR系統存在漏洞，研究人員找到能對該資安系統進行竄改、控制受害電腦的方法

研究人員去年發現Palo Alto Networks Cortex XDR的多項弱點，使得攻擊者能根據Lua及Python組態檔案找到其運作的規則並繞過，甚至有機會將其當作惡意程式

2024-04-25

| Windows | 漏洞揭露 | CVE-2023-32054 | CVE-2023-36396

Windows的DOS到NT路徑轉換處理存在漏洞，研究人員將其充當rootkit利用

研究人員指出，Windows針對新舊系統相容的檔案路徑轉換機制存在弱點MagicDot，而有可能讓攻擊者在未取得所需權限的情況下，執行程式碼或是發動類似rootkit的攻擊

2024-04-23

【資安月報】2023年9月

在2023年9月的資安新聞與事件中，國家級駭客組織威脅日益嚴峻與零時差漏洞這兩大議題成為焦點，特別是mWISE Conference 2023資安防禦會議上揭露中國駭客組織威脅擴大，美國主要聯邦執法機關FBI都強調需要公私聯防，情資分享，以及善用AI技術來對抗中國大規模發動威脅

2023-10-19

【資安月報】2023年8月

在2023年8月的資安新聞與事件中，AI議題持續成為今年最大焦點，其中有兩大事件備受關注，包括：我國「行政院及所屬機關使用生成式AI參考指引草案」的通過，聚焦生成式AI安全使用的，以及美國啟動AI Cyber Challenge（AIxCC）挑戰賽，促進藉助AI改善網路安全解決方案創新

2023-09-17

【資安月報】2023年7月

在今年7月的資安新聞中，有兩大議題受到關注，包括資安事件揭露的法規態勢，尤其是美國證券交易委員會（SEC）規定上市公司要在4天內披露重大資安事件的提案，在本月正式通過；而最近幾年詐騙簡訊活動不斷的狀況，最近依然持續，包括台灣電力公司、台灣自來水公司都指出有新的假冒名義詐騙情形

2023-08-04

【資安月報】2023年6月

在2023年6月的資安新聞與事件中，有兩大議題成為焦點，包括勒索軟體攻擊與供應鏈攻擊，其中勒索軟體Lockbit駭客非常囂張，竟敢在太歲頭上動土，把腦筋動到舉世關注的全球半導體龍頭企業台積電身上，侵入他們的供應商，並聲稱已取得台積電資料而對外兜售；而5月底MOVEit Transfer零時差漏洞攻擊曝光後，受害名單在6月陸續浮上檯面，更是引發全球關注

2023-07-05