零時差漏洞

在今天（5/14）臺灣資安大會首日主題演講中，趨勢科技威脅研究副總Brian Gorenc剖析各產業軟體漏洞生命周期各階段的挑戰，以及應對策略，更提出他對於生成式AI未來如何影響漏洞揭露的觀察。

本週一（5月13日）蘋果發布本月份例行更新，當中最引起注意的部分，是他們於3月公告的零時差漏洞CVE-2024-23296，這次也對舊版作業系統提供相關修補

這一期資安週報中，以GitLab、WP-Automatic Plugin的漏洞利用狀況最受關注；在資安威脅焦點方面，Dropbox旗下Dropbox Sign數位簽章方案遭駭受矚目，勒索軟體攻擊事件亦帶來嚴重影響，加拿大連鎖藥局暫停營業6天，瑞典物流業者遇駭衝擊當地酒品供應，並還有親俄駭客鎖定水力設施關鍵CI的攻擊手法揭露

在這一星期的漏洞新聞中，思科與CrushFTP的零時差漏洞利用狀況需特別留意，還有8家輸入法供應商被通報多項漏洞的消息；在資安威脅態勢方面，有研究人員向企業提出警告，注意駭客鎖定SAP旗下應用系統攻擊的態勢，以及鎖定網頁伺服器部署Web Shell的攻擊行動

檔案伺服器軟體CrushFTP開發團隊近日針對用戶提出警告，有人利用零時差漏洞CVE-2024-4040從事攻擊行動，呼籲用戶儘速套用新版程式來進行修補

這一星期有Oracle、Putty的漏洞修補須重視，還有中繼資料管理工具OpenMetadata上月修補漏洞已出現遭利用的情況；在資安威脅態勢焦點方面，有多個廠牌的VPN系統或SSH服務正被攻擊者鎖定的消息，以及6種殭屍網路病毒都在鎖定TP-Link路由器已知漏洞的情況

微軟4月例行更新公布2個零時差漏洞，分別是代理驅動程式（Proxy Driver）欺騙漏洞，以及涉及SmartScreen提示安全功能被繞過漏洞

這一星期適逢清明連假，而連假前夕最大條的資安消息，就是關於XZ Utils程式庫被植入後門與漏洞的事件，還有2個漏洞利用要注意，包括AI框架Ray與Android Pixel的漏洞；資安事件焦點方面，以CISA的Ivanti伺服器遭駭，及OWASP基金會資料外洩，最受矚目，臺灣也發生亞昕資訊校務行政系統遭駭、7高中受影響的事件