【資安週報】2024年3月18日到3月22日

在這一星期的漏洞新聞中，HTTP非同步傳輸框架Aiohttp於1月修補的漏洞遭利用的消息，需要特別留意；在重大資安新聞方面，以國際貨幣基金組織與富士通的遭駭最受關注，還有最新攻擊手法揭露，包括新型DoS攻擊手法Loop DoS、GoFetch微架構旁路攻擊

2024-03-25

新聞 dormakaba, 電子鎖, Saflok, 安全漏洞

超過300萬個dormakaba電子鎖有被解鎖之虞

Dormakaba超過300萬個RFID電子鎖含有安全漏洞，允許駭客利用一對偽造的鑰匙卡解鎖單一飯店所有房間，即使修補工作從去年11月開始進行，但涉及複雜的軟硬體更新，截至今年3月只完成36%進度

2024-03-25

新聞記事本, Notepad, 拼字檢查, 自動校正

Windows記事本將新增拼字檢查、自動校正功能

微軟將新版記事本（Notepad）提供給Insiders方案用戶，添加拼字檢查與自動修正功能

2024-03-25

新聞 FinTech周報, AI金融, BIS, GoTo, 反壟斷, 大型語言模型, 永續資料蒐集

Fintech周報第235期：國際清算銀行實驗LLM自動彙整企業永續揭露資訊，公開RAG優化作法

國際清算銀行（BIS）近期運用生成式AI進行一項實驗，計畫協助監理機構和金融業者快速蒐集企業報告中的永續揭露資訊。該計畫報告中具體說明了運用RAG調教LLM生成結果的過程。

2024-03-25

新聞資安日報

【資安日報】3月25日，俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader

資安業者Mandiant針對俄羅斯駭客組織APT29最新一波攻擊行動提出警告，指出對方假冒特定政黨從事網路釣魚攻擊

2024-03-25

新聞關鍵民生系統, 韌性, 關鍵民生系統韌性方案, 備援, 公有雲, 雲端, 經濟部商業發展署, 丁珕

【關鍵民生系統韌性大升級｜機關推動方向：經濟部商業發展署】靠跨境公雲強化工商資訊系統韌性

克服內部雲原生架構技術、雲端管理人才不足問題，以跨境公有雲完備系統及服務韌性設計

2024-03-28

新聞 Container快報, K8s, eBPF, OpenShift, 可觀察性, 服務網格, 叢集管理, IT周報

Container快報第158期：K8s年四月釋出今年第一更，OpenShift也推新4.15版，微軟和GitLab表態繼續支援Flux

多款容器工具和平臺發布新版或即將更新。K8s年四月釋出今年第一更，OpenShift也推新4.15版，新版Linker則可以用來調度非K8s環境中的微服務，Grafana Labs也繼續強化可觀察性能力。在Weaveworks倒閉後，微軟和GitLab表態大力支援Flux專案

2024-03-28

新聞 Canva, Affinity

Canva與Affinity承諾將持續供應永久授權

針對Affinity套件使用者擔心日後被迫改用訂閱制，收購Affinity的Canva承諾不會取消買斷形式的銷售方案

2024-03-28

新聞第三方元件, 函式庫, google, 零時差漏洞

Google報告指去年第三方元件零時差漏洞攻擊增加，鎖定企業軟硬體創新高

Google歸納去年零時差漏洞攻擊五大趨勢，包括駭客利用第三方元件和函式庫的零時差漏洞，發動供應鏈攻擊的情況有升溫趨勢

2024-03-28

新聞 google, Gemini Nano, Pixel 8

Google改變心意，讓Pixel 8也能執行Gemini Nano

除了旗艦款Pixel 8 Pro用戶可以獲得經Gemini Nano模型強化的AI功能，Google承諾後續將透過功能更新，將自家行動裝置專用AI模型部署至中階款Pixel 8

2024-03-29

新聞 DevOps, DORA, Java, Go語言, CI/CD, IT周報

DevOps快報第3期：Java 22來了，Go大幅強化追蹤，數位部將推出公共程式碼平臺，旅遊平臺揭露軟體交付效率翻倍秘訣

Java釋出了22版，大幅提高開發體驗和運作效能。Go語言則大幅改善了追蹤套件的效能。多款CI/CD工具有新功能或更新，包括了 JetBrains、 CircleCI。Booking.com則揭露如何用DORA指標追蹤團隊開發效率，將軟體交付效率，提高了一倍的過程。

2024-03-29

新聞資安週報, 資安一周, 資安周報, IT周報, 網路攻擊, 零時差漏洞, 網釣工具包, 供應鏈攻擊

【資安週報】2024年3月25日到3月29日

這一星期有多個已知漏洞被利用消息，包括Fortinet、微軟、VMware、Ivanti 與Nice的漏洞；周末更傳出涉及SSHD供應鏈攻擊的事件，原因出在XZ Utils程式庫，要特別重視這方面因應；在資安威脅焦點方面，有研究人員針對採用Tycoon 2FA網釣攻擊工具包、以手機用戶為目標網釣工具包Darcula的攻擊行動提出警告

2024-04-01