【資安週報】0106~0110，臺灣電信業遭受中共網駭情形在2024年暴增6.5倍，交通與國防供應鏈也成被針對的重點

回顧1月第二星期的資安新聞，臺灣國家安全局與日本警方相繼公布中國駭客的威脅態勢，以及國內上市櫃遭遇供應鏈攻擊、勒索軟體攻擊與DDoS攻擊的事件是主要焦點；在資安威脅技術方面，有雙點擊劫持的攻擊手法、濫用應用程式安全測試OAST機制需要重視

新聞 | Apache | Apache Traffic Control | CDN | SQL injection | CVE-2024-45387

Apache修補開源CDN軟體Traffic Control重大層級SQL注入漏洞

本週Apache基金會針對內容傳遞網路（CDN）軟體Apache Traffic Control發布8.0.2版更新，目的是為了修補SQL注入漏洞CVE-2024-45387，此漏洞CVSS風險評分達到9.9，非常危險

2024-12-26

新聞 | Uber Eats | Foodpanda | 外送平臺

公平會否決Uber Eats與foodpanda合併案

Uber併購foodpanda臺灣業務一案，公平會蒐集各界意見，經過分析後認為，Uber Eats與foodpanda合併後，限制競爭的不利益將大於整體經濟利益，禁止這項合併案。

2024-12-25

新聞 | 保險科技 | AI | 理賠 | 工研院 | 慧保 | 保單 | 保險存摺

自動算出最佳理賠金、加速醫病決策，工研院打造商用AI理賠試算平臺

工研院宣布成立慧保科技新創公司，主打理賠試算平臺和保險理賠金試算系統2款產品。其中，前者供壽險公司使用，可用來規畫或銷售符合理賠需求的產品。後者則供醫院使用，醫師可用來評估患者醫療預算，並給予合適的治療方案，強化醫病決策。這兩款平臺都結合AI模型，其中醫起付也能在民眾授權下匯入保險存摺保單清單。

2024-12-25

新聞 | 資安日報

【資安日報】12月25日，美國政府下令萬豪、喜達屋旅館集團強化資安

針對最近幾年大型旅館集團萬豪國際（Marriott International）資安外洩事故頻傳的情況，美國聯邦交易委員會（FTC）於2個月前提出訴訟，上週下達該集團必須改善資安的命令

2024-12-25

新聞 | WhatsApp | 零時差漏洞 | NSO Group | Pegasus

針對5年前間諜軟體供應商NSO Group被控利用WhatsApp零時差漏洞入侵逾1,400臺行動裝置，美國法院判決WhatsApp勝訴

Meta、WhatsApp曾於5年前對以色列間諜軟體公司NSO Group提告，理由是該公司於間諜軟體利用WhatsApp零時差漏洞，導致有1,400臺行動裝置遭到監控，本週判決出爐，美國聯邦法院認定NSO Group觸犯了當地法律

2024-12-25

新聞 | Hugging Face | DVTS | Deepmind

小模型可用更長運算時間換取更高精準度，Hugging Face發表測試階段運算擴展的研究

Hugging Face研究顯示小型模型在測試階段運算擴展（Test-Time Compute Scaling）下，能在數學推理等特定任務中超越大型模型

2024-12-25

新聞 | Webmin | CVE-2024-12828 | Virtualmin

控管Unix與Linux系統的開源套件Webmin有重大漏洞，一般帳號可趁機偷用root權限執行惡意命令

今年3月漏洞懸賞專案Zero Day Initiative（ZDI）找到伺服器網頁管理主控臺Webmin重大層級漏洞CVE-2024-12828，若不處理，攻擊者有機會在入侵非特權用戶的情況下，以root權限執行任意程式碼

2024-12-25

新聞 | Apache | Tomcat | CVE-2024-50379 | TOCTOU | CVE-2024-56337

Apache基金會修補網頁伺服器元件Tomcat遠端程式碼執行漏洞

上週Apache基金會針對網頁伺服器系統Tomcat修補重大層級的遠端程式碼執行（RCE）漏洞CVE-2024-50379，但後來他們發現，相關更新軟體出現修補不全的情況，並指出用戶必須調整Java組態因應

2024-12-25

新聞 | Telegram | Pavel Durov | 社交平臺

Telegram 2024年終於停止虧損且營收破10億美元

Telegram在2024年實現商業化以來首次獲利，營收超過10億美元，主要收入來源是Premium訂閱與廣告收入成長

2024-12-25

新聞 | XAI

擴建AI伺服器？xAI再增資60億美元

xAI宣布獲得來自a16z、Nvidia、AMD等投資者挹注60億美元資金

2024-12-25

新聞 | 供應鏈攻擊 | Rspack | XMRig | npm

Rspack旗下NPM套件遭到供應鏈攻擊，開發人員電腦恐被植入挖礦軟體

前端軟體封裝套件Rspack開發團隊證實遭遇攻擊，並指出旗下兩個NPM套件被攻擊者植入有問題的1.1.7版，呼籲開發人員改用1.1.6或1.1.8版因應。有研究人員指出，這起事故專門針對特定國家的Linux開發環境而來

2024-12-25

新聞 | Anthropic | Claude | Gemini | google

傳Google用Anthropic Claude測試Gemini模型

媒體Techcrunch報導指出，Google透過外包人力針對自家Gemini模型與Claude模型的回應品質進行評比

2024-12-25