| iThome

Apache | Apache Traffic Control | CDN | SQL injection | CVE-2024-45387

Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞

本週Apache基金會針對內容傳遞網路（CDN）軟體Apache Traffic Control發布8.0.2版更新，目的是為了修補SQL注入漏洞CVE-2024-45387，此漏洞CVSS風險評分達到9.9，非常危險

2024-12-26

資安日報

【資安日報】12月25日，美國政府下令萬豪、喜達屋旅館集團強化資安

針對最近幾年大型旅館集團萬豪國際（Marriott International）資安外洩事故頻傳的情況，美國聯邦交易委員會（FTC）於2個月前提出訴訟，上週下達該集團必須改善資安的命令

2024-12-25

WhatsApp | 零時差漏洞 | NSO Group | Pegasus

針對5年前間諜軟體供應商NSO Group被控利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，美國法院判決WhatsApp勝訴

Meta、WhatsApp曾於5年前對以色列間諜軟體公司NSO Group提告，理由是該公司於間諜軟體利用WhatsApp零時差漏洞，導致有1,400臺行動裝置遭到監控，本週判決出爐，美國聯邦法院認定NSO Group觸犯了當地法律

2024-12-25

Webmin | CVE-2024-12828 | Virtualmin

控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令

今年3月漏洞懸賞專案Zero Day Initiative（ZDI）找到伺服器網頁管理主控臺Webmin重大層級漏洞CVE-2024-12828，若不處理，攻擊者有機會在入侵非特權用戶的情況下，以root權限執行任意程式碼

2024-12-25

Apache | Tomcat | CVE-2024-50379 | TOCTOU | CVE-2024-56337

Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞

上週Apache基金會針對網頁伺服器系統Tomcat修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2024-50379，但後來他們發現，相關更新軟體出現修補不全的情況，並指出用戶必須調整Java組態因應

2024-12-25

供應鏈攻擊 | Rspack | XMRig | npm

Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體

前端軟體封裝套件Rspack開發團隊證實遭遇攻擊，並指出旗下兩個NPM套件被攻擊者植入有問題的1.1.7版，呼籲開發人員改用1.1.6或1.1.8版因應。有研究人員指出，這起事故專門針對特定國家的Linux開發環境而來

2024-12-25

資料外洩 | 美國聯邦交易委員會 | 萬豪國際 | 喜達屋

美國政府下令萬豪、喜達屋飯店集團強化資安

美國聯邦交易委員會針對萬豪國際及其子公司喜達屋近年幾起大規模資料外洩事故，在今年10月提起告訴，如今進一步發布命令，要求兩家業者導入完善的資安方案作為和解條件

2024-12-25

資安日報

【資安日報】12月24日，鎖定M365帳號的網釣工具包FlowerStorm現身

針對近期曝光的網釣工具包Rockstar 2FA，有研究人員發現駭客疑似在半年前就籌畫另一款工具FlowerStorm，並在上個月開始關閉部分Rockstar 2FA基礎設施，營運FlowerStorm租用服務的情況

2024-12-24

E2EE | 全程加密 | Signal

中國駭客鎖定電信業發動大規模攻擊，CISA呼籲高風險用戶應改用支援E2EE的加密通訊軟體因應

針對中國駭客非法存取美國電信基礎設施，竊取用戶通訊記錄資料，滲透特定人士通訊內容，美國網路安全暨基礎設施安全局（CISA）近期針對可能被鎖定的高風險人士提出建議，呼籲他們改用實作全程加密（E2EE）的加密通訊軟體與他人通訊

2024-12-24

Fortinet | Python | 惡意套件

Python惡意套件Zebo與Cometlogger被用於供應鏈攻擊竊取憑證

兩款新發現的Python惡意套件Zebo與Cometlogger，看起來僅是一般開源程式，但是內含鍵盤記錄、資料外洩與反虛擬機器檢測等功能，威脅開發者與企業資料安全

2024-12-24

殭屍網路Mirai變種Hail Cock鎖定Digiever網路視訊監視設備而來，利用RCE漏洞入侵受害設備

資安業者Akamai揭露針對數款連網設備進行的殭屍網路Hail Cock攻擊行動，其中一種駭客綁架的裝置，就是臺廠永恒數位通訊科技（Digiever）旗下網路視訊監視設備（NVR）DS-2105 Pro

2024-12-24

鎖定M365帳號的網釣平臺FlowerStorm崛起，疑似Rockstar 2FA捲土重來

針對資安業者Trustwave揭露網釣工具包Rockstar 2FA，本週資安業者Sophos指出有新的動態，最近兩個月該工具包部分基礎設施停擺，但巧合的是，另一個網釣工具包FlowerStorm開始出現頻繁的活動

2024-12-24

鎖定物聯網裝置的惡意軟體BadBox攻擊升溫，19萬臺安卓裝置遭綁架、組成殭屍網路

資安業者BitSight提出警告，本月上旬德國針對當地連網設備阻斷惡意軟體BadBox的攻擊行動，全球有多個國家也出現災情，其中又以俄羅斯和中國最為嚴重，Yandex智慧電視及海信（Hisense）智慧型手機成主要標的

2024-12-24

資安日報

【資安日報】12月23日，羅馬尼亞駭客組織Diicot再度利用Linux主機挖礦

資安業者Wiz揭露羅馬尼亞駭客Diicot（或稱Mexals）近期的攻擊行動，這些駭客專門針對內部網路環境建置的Linux主機而來，企圖將其用來挖礦

2024-12-23

Linux | 挖礦攻擊 | Diicot | Mexals

羅馬尼亞駭客組織Diicot鎖定Linux主機而來，企圖散布挖礦軟體

資安業者Wiz揭露羅馬尼亞駭客組織Diicot（或稱Mexals）最新一波的挖礦攻擊行動，並指出這些駭客用了不少新手法避免防禦方察覺，例如：鎖定內部網路環境建置的Linux伺服器為主要的挖礦標的，更動UPX檔案標頭、避免被一般解包工具拆解，而察覺攻擊意圖

2024-12-23