11日多家廠商發布4月份例行修補,包含微軟、Adobe、SAP等軟體業者,以及西門子、施耐德電機等OT設備業者,其中最值得留意是微軟發出的公告,因為當中修補的零時差漏洞CVE-2023-28252,已有資安業者發現在2月被用於勒索軟體攻擊。
除了IT與OT大廠此刻齊發每個月例行修補,前一段時間經歷曝露用戶對話標題及帳號被盜等資安事故的ChatGPT,主導其發展的人工智慧實驗室OpenAI本週宣布推出漏洞懸賞專案,鼓勵研究人員對該實驗室的API及ChatGPT幫其抓漏。
三星半導體部門傳出因開放使用ChatGPT造成資料外洩的情況並非個案!有資料安全新創公司發現,平均每100位員工就有超過3位將企業機敏資料上傳ChatGPT,且這種資料外洩的情況有越來越嚴重的趨勢。
【攻擊與威脅】
加拿大公民實驗室(Citizen Lab)、微軟聯手,揭露專門製作間諜軟體的以色列網路攻擊公司QuaDream,該公司沒有設立網站,也並未直接面對客戶,而是委由位於賽普勒斯的業者InReach銷售,向全球政府機關兜售名為Reign的平臺,買家再從此平臺取得各式攻擊工具,其中一款是名為KingsPwn的iOS惡意程式。
該惡意程式的攻擊目標是執行iOS 14的裝置,能竊取裝置資訊、Wi-Fi及行動網路資料,並能於背景存取視訊鏡頭、監控手機通話、存取iOS的KeyChain等。
研究人員發現,QuaDream宣稱將惡意程式銷售給政府機關用於執法,實際的受害者卻遠遠超出此範圍,涵蓋北美、中亞、東南亞、歐洲、中東記者,以及NGO工作人員,顯然該公司對於違法者的定義,有別於民主自由價值。
勒索軟體Nokoyama利用Windows的CLFS零時差漏洞發動攻擊
在微軟發布的4月份例行更新(Patch Tuesday)當中,有1個零時差漏洞CVE-2023-28252存在於Windows系統的 Common Log File System(CLFS)服務,有研究人員警告已被用於勒索軟體攻擊。
資安業者卡巴斯基指出,他們在2月看到駭客在勒索軟體Nokoyawa的攻擊行動中利用這項漏洞,針對中東和北美地區的中小企業而來,在這些組織的Windows伺服器執行提升權限的行為,目的是部署勒索軟體。
但CVE-2023-28252並非駭客唯一利用的CLFS漏洞,研究人員指出,駭客自2022年6月開始,一共利用至少5個這類漏洞,攻擊零售及批發、能源、製造、醫療保健、軟體開發等產業。
肯德基、必勝客1月遭勒索軟體攻擊,英國近300家門市停業1天
肯德基、必勝客、Taco Bell的母公司百勝餐飲集團(Yum Brands)4月7日向美國緬因州政府檢察長辦公室通報,他們在1月13日遭到勒索軟體攻擊,駭客存取該公司多項系統,防止災害擴大,該公司資安人員緊急切斷特定系統連線,導致該集團旗下近300家英國餐廳暫停營業1天。
在初步平息事件後,百勝集團偕同外部專家展開詳細調查,發現部分用戶個人識別資訊(PII)可能外洩,包括姓名、駕照號碼及其他身分證件號碼等。該公司以電子郵件通知受影響的用戶,但受影響人數仍要進一步確認。
超過3%員工不慎將企業機敏資料上傳ChatGPT,恐造成資料外洩
資料安全服務業者Cyberhaven近日針對旗下企業用戶共160萬名員工的ChatGPT使用行為進行調查,結果發現,已有8.2%員工開始在職場使用ChatGPT,但有3.1%曾將企業機敏資料輸入。
研究人員指出,雖然有越來越多企業直接禁止員工在公司網路使用ChatGPT服務,但相關的機敏資料外洩災情仍持續上升,在3月14日,他們偵測出每10萬名員工就有5,267起這類資料外流事件(包含遭攔截、未成功送出查詢的次數)。根據外洩的資料類型來看,在研究人員進行統計期間,平均而言,每10萬人當中,機密文件外流的通報199次、外流顧客資料的通報173次、程式原始碼外流的通報159次。
【漏洞與修補】
微軟於4月11日發布本月份例行修補(Patch Tuesday),總共修補了97個漏洞,當中有20個涉及權限提升、8個能用於繞過安全功能、45個可讓攻擊者遠端執行任意程式碼(RCE)、10個資訊洩露漏洞、9個可能導致服務阻斷(DoS)、6個欺騙漏洞。
值得留意的是CVE-2023-28252為零時差漏洞,此漏洞與通用事件記錄檔案系統(CLFS)元件有關,攻擊者一旦利用,就有可能取得SYSTEM權限,CVSS風險評分為7.8。資安業者卡巴斯基指出,駭客已將其用於勒索軟體Nokoyawa攻擊行動。
4月11日SAP發布、更新24則資安通告,本次修補了2個重大層級的漏洞CVE-2023-28765、CVE-2023-27267,前者為資訊洩露漏洞,存在於商業智慧軟體BusinessObjects,攻擊者可在擁有基本權限的情況下存取lcmbiar組態檔案並進行解密,然後接管使用者的帳號,CVSS風險評分為9.8。
至於CVE-2023-27267則是存在於Diagnostics Agent元件,起因是OSCommand Bridge模組輸入驗證不足,導致攻擊者可在連線的端點電腦執行指令碼,CVSS風險評分為9.0分。
4月11日西門子、施耐德電機皆發布本月份的資安通告,總共公布了38個漏洞,相較於2月、3月漏洞數量各約有100個,本月份算是下降不少。
其中,西門子一共發出14則新的公告,總共提及26個漏洞,最嚴重的是CVE-2023-28489,該漏洞存在於Sicam A8000系列的遠端終端機單元(RTU),攻擊者可在目標設備設置可遠端操作的情況下,執行任意命令且無須通過身分驗證,CVSS風險評分為9.8。
施耐德電機本次發布6則新公告,共涵蓋十多個漏洞,其中風險層級最高的是CVE-2023-29411、CVE-2023-29412,出現在APC Easy UPS線上監控軟體,前者與重要功能缺乏驗證有關,後者則與不適當的處理敏感物件有關,CVSS風險評分皆為9.8。
4月11日Adobe發布例行更新,修補旗下產品56項漏洞,其中最值得留意的部分,是有關PDF編輯軟體Acrobat及PDF文件檢視程式Reader的公告APSB23-24,當中提及了16項漏洞,大部分都被列為重大層級,能被攻擊者用於執行任意程式碼,或是繞過安全功能,CVSS風險介於5.5至8.6分。該公司表示,這些漏洞目前尚未出現被用於攻擊行動的跡象。
【資安防禦措施】
推出熱門大型語言模型ChatGPT的人工智慧實驗室OpenAI於4月11日宣布,他們與漏洞懸賞平臺Bugcrowd合作,正式推出OpenAI的漏洞懸賞計畫,根據漏洞的嚴重程度,獎金從200美元至2萬美元不等,範圍涵蓋OpenAI各種API,部署這些API的公有雲基礎設施,以及ChatGPT的部分,同時也包含訂閱服務ChatGPT Plus、OpenAI提供的外掛程式等。
值得注意的是,有關機器學習模型的安全問題不在此專案的懸賞範圍,例如:透過模型為使用者產生惡意程式碼。OpenAI指出,原因是這些臭蟲無法直接修補,往往需要大量研究或採取更周全的方法才能因應。
【其他新聞】
Azure儲存的金鑰有可能遭到濫用,被用於提升權限或是執行RCE攻擊
研究人員展示如何濫用ChatGPT產生惡意程式,且能迴避防毒軟體偵測
近期資安日報
【4月11日】 惡意NPM套件被用於網釣攻擊,並癱瘓套件庫系統的運作
熱門新聞
2024-12-03
2024-11-29
2024-12-02
2024-12-02
2024-12-03