黑帽大會

資安業者Cyata於本週舉行的資安大型會議Black Hat USA 2025裡，揭露他們通報的身分驗證資料管理平臺CyberArk Conjur資安漏洞，並指出攻擊者一旦串連，就有機會在無須提供帳密資料、Token的情況下，藉由一系列特製請求，完全控制這套管理平臺

在本期資安週報回顧的新聞當中，關於後​​量子密碼學（PQC）標準出爐是最大焦點，美國NIST已正式發布FIPS 203、FIPS 204與FIPS 205；在漏洞消息方面，以微軟修補10個零時差漏洞最受關注，當中有6個是已遭利用

黑帽大會2021 Pwnie Awards「最佳伺服器端漏洞」總共有七個漏洞入圍，其中3個與郵件伺服器相關，另外2個則與印表機漏洞相關，最終由臺灣資安公司戴夫寇爾首席資安研究員Orange Tsai歷時半年研究的微軟Exchange郵件伺服器漏洞獲獎

研究人員發現，多款經簽章的驅動程式存在安全漏洞，可被當作代理伺服器以讀寫核心記憶體或內部CPU組態暫存器，使這些合法驅動程式反而被攻擊者用來繞過甚至關閉Windows安全機制，進而執行任意程式碼

Check Point研究人員去年10月曾向微軟通報一項遠端桌面協定漏洞，但未受重視，微軟一直到今年中旬二度被告知這項RDP漏洞會波及到Hyper-V時，才著手修補

由臺灣資安公司戴夫寇爾資安研究員Orange Tsai與Meh Chang於黑帽大會上揭露的Pulse Secure及其他SSL VPN產品漏洞，因為影響企業資安層面又深又廣，獲得黑帽大會Pwnie Awards漏洞研究界奧斯卡獎的得獎肯定

一名安全研究人員研究黑帽駭客大會發給所有與會者的NFC標籤，發現內含的名片閱讀器的API沒有保護措施，有心人士利用下就能獲得與會者的完整資料，包括姓名、公司名稱及職稱、地址、部門、電子郵件、電話號碼等等。

DeepLocker結合AI能力，可隱藏其惡意企圖，辨識特定的受害者或行為後才展開攻擊，例如將其嵌入視訊會議程式，可透過網路攝影機辨識人物，當目標對象出現才釋出攻擊程式，或偵測到「password」、「key」再動作。