| 漏洞揭露 | Palo Alto Networks | BlastRADIUS

Palo Alto Networks修補移轉工具Expedition缺乏身分驗證的重大漏洞

上週四(7月11日)資安業者Palo Alto Networks發布資安公告,其中存在於移轉工具Expedition的身分驗證漏洞CVE-2024-5910被列為重大層級,而特別值得留意

2024-07-15

| 漏洞揭露 | GitLab

GitLab發布社群版及企業版更新,修補能讓任意用戶執行自動化工作Pipeline的重大漏洞

上週GitLab再度發布重大修補更新,處理重大層級的漏洞CVE-2024-6385,若不套用更新,攻擊者有機會冒用其他使用者的名義執行Pipeline工作流程,值得留意的是,不久前GitLab維護團隊才緩解類似型態的弱點

2024-07-15

| 漏洞揭露 | NetScaler | Citrix | CVE-2024-6235 | CVE-2024-6236

Citrix修補應用程式交付平臺NetScaler高風險漏洞,若不處理恐面臨資訊洩露、阻斷服務風險

本週Citrix針對用程式交付平臺NetScaler、Workspace應用程式、虛擬化桌面組態管理系統Provisioning發布資安公告,其中又以NetScaler主控臺元件、NetScaler SVM的漏洞最受到關注

2024-07-11

| 漏洞揭露 | VMware | Aria Automation | SQL注入 | CVE-2024-22280

VMware揭露自動化處理平臺存在高風險漏洞,攻擊者可對其發動SQL注入攻擊

本週VMware發布資安公告,指出旗下的雲端自動化平臺Aria Automation存在高風險漏洞CVE-2024-22280,攻擊者可藉由輸入特定SQL查詢指令觸發,而能在未經授權的情況下對資料庫讀取或是寫入

2024-07-11

| 漏洞揭露 | 資訊洩露 | Apache | Apache HTTP Server | CVE-2024-39884

Apache基金會修補網頁伺服器HTTP Server的原始碼洩露弱點

7月初Apache基金會針對網頁伺服器系統HTTP Server發布更新,當中修補高風險層級漏洞CVE-2024-39884,若不處理,網頁伺服器就有可以面臨原始碼洩露的風險

2024-07-11

| Ghostscript | 漏洞揭露 | 漏洞攻擊

文件轉換程式庫Ghostscript存在RCE漏洞,傳出已被用於攻擊行動

研究人員針對文件轉換程式庫Ghostscript今年5月修補的遠端程式碼執行(RCE)漏洞CVE-2024-29510提出警告,指出他們在通報的資安業者公布漏洞細節後,已經出現相關攻擊

2024-07-11

| 漏洞揭露 | Patch Tuesday | 零時差漏洞 | CVE-2024-38112

微軟修補MSHTML零時差漏洞消息剛發布,但去年1月就有駭客濫用漏洞,今年5月又被發現有人藉此散布竊資軟體Atlantida

本週二微軟修補已發生攻擊行動的MSHTML零時差漏洞CVE-2024-38112,通報此事的資安業者Check Point公布駭客利用這項漏洞的手法,對方藉由讓使用者點選特製的URL檔案,啟動Internet Explorer(IE)來觸發攻擊鏈

2024-07-11

| 漏洞揭露 | 工業控制系統 | 西門子

研究人員針對西門子修補的SICAM設備漏洞提出警告,若不修補有可能被用於針對能源產業攻擊

針對通報的西門子能源工業控制系統SICAM漏洞,研究人員公布相關細節,由於這些漏洞的存在,攻擊者得以從中竊取敏感資料、提升權限、甚至讀取特定的密碼

2024-06-27

| 漏洞揭露 | 蘋果 | AirPods | Powerbeats Pro | Beats Fit Pro | CVE-2024-27867

蘋果發布AirPods韌體更新,修補藍牙耳機配對漏洞

本週二蘋果發布藍牙耳機AirPods新版韌體,修補身分驗證漏洞CVE-2024-27867,值得留意的是,除了第1代AirPods,其他裝置都可能受到影響

2024-06-27

| 漏洞揭露 | 數據機 | ISP | API | Cox Communications

美國網路寬頻業者Cox修補數據機授權繞過漏洞,若不處理攻擊者可用於挖掘用戶個資

今年3月漏洞賞金獵人Sam Curry向美國大型網路寬頻業者Cox Communications通報管理權限漏洞,並指出這個問題如果不解決,攻擊者可濫用超過700個API,對該公司客戶的數據機上下其手

2024-06-05

| Replicate | AI | AI-as-a-Service | Cog | rce | 漏洞揭露

人工智慧服務供應商Replicate平臺存在重大漏洞,恐導致用戶自用的AI模型外流

繼上個月公布AI模型共享平臺Hugging Face的跨租戶攻擊弱點,資安業者Wiz近期公布開源AI模型的集合平臺Replicate的弱點,並指出一旦漏洞遭到利用,攻擊者就有機會操縱AI模型輸出的結果

2024-05-28

| GitLab | CVE-2024-4835 | 漏洞揭露

GitLab揭露高風險漏洞,未經身分驗證的攻擊者可發動XSS攻擊接管帳號

本週GitLab針對社群版(CE)及企業版(EE)發布更新,修補一系列漏洞,其中最值得留意的部分,是能藉由IDE工具觸發的高風險漏洞CVE-2024-4835,若不修補,攻擊者可用於洩漏使用者機密資訊

2024-05-24