【資安日報】2月5日，去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關

針對一月底揭露的7-Zip漏洞CVE-2025-0411，通報此事的漏洞懸賞專案Zero Day Initiative（ZDI）公布發現的過程，俄羅斯駭客去年9月將其用於攻擊烏克蘭的企業組織

| AI | AI硬體 | Nvidia | Mellanox | 資料中心 | 乙太網路 | Spectrum-X | AI加速運算 | AI加速器

得網路者得AI

人工智慧的重要性不言可喻，於是有了「得AI者，得天下」的論調，然而，該如何「得AI」？很多人會馬上想到資料、運算能力、軟體、AI模型等因素，網路存取能力與效率，很少排在前面的考量

2025-01-03

新聞 | uBlock | GPL | PayPal | Honey

擴充套件Pie Adblock侵權uBlock Origin，PayPal Honey團隊再掀爭議

Pie Adblock遭控盜用uBlock Origin程式碼，違反GPL授權，其團隊與PayPal旗下爭議的Honey擴充套件相同，引發開源社群對其誠信及商業道德的嚴重質疑

2025-01-03

新聞 | libxml2 | XXE | CVE-2024-40896

XML檔案解析程式庫libxml2存在重大漏洞，恐被用於XML外部實體攻擊

美國國家漏洞資料庫（NVD）近期公布GNOME開發團隊於7月修補的一項漏洞CVE-2024-40896，此漏洞存在於XML檔案解析程式庫libxml2，通報此事的開發人員指出，該漏洞有可能曝露電腦使用者的帳密資料，相當嚴重

2025-01-03

新聞 | Meta | 公共事務長 | Joel Kaplan | 川普 | 保守派

因應川普上臺 Meta公共事務長換人

Meta新任公共事務長Joel Kaplan在小布希時代擔任白宮副幕僚長，他過去在Meta內部一直強力反對限制政治言論，認為此類政策將壓制保守派聲音

2025-01-03

新聞 | DoubleClickjacking

研究人員揭露新的DoubleClickjacking手法，能繞過點擊劫持防護

現今多數網站都已加入防範點擊劫持（clickjacking）攻擊手法的措施，不過安全研究人員揭露此類攻擊的變種版，能繞過既有防護而攻擊網站用戶

2025-01-03

新聞 | WhatsUp Gold | CVE-2024-12105 | CVE-2024-12106 | CVE-2024-12108

Progress修補網管軟體WhatsUp Gold重大層級漏洞

12月Progress推出WhatsUp Gold 24.0.2版，目的是為了修補3項弱點，其中有兩項CVE-2024-12106、CVE-2024-12108相當嚴重，若不處理，攻擊者有機會用來存取WhatsUp Gold伺服器，或是竄改LDAP組態設定

2025-01-03

新聞 | Vision Pro | 蘋果 | 停產

銷售遲緩，蘋果傳已在2024年底停產Vision Pro

由於銷量不佳導致庫存大增，媒體The Information宣稱蘋果可能已於2024年底停產空間運算設備Vision Pro

2025-01-03

新聞 | LG | Exaone | LLM | 混合式AI | Copilot+ PC | AI PC

LG Gram筆電導入混合式AI，本地端執行自家Exaone開源模型

LG新Gram筆電支援Copilot+，採混合式人工智慧架構，在本地端執行自家Exaone開源模型，可進行離線人工智慧運算，也能連接雲端支援更高階的需求

2025-01-03

新聞 | 資安日報

【資安日報】1月2日，北韓駭客對開發人員發動新一波攻擊，意圖散布惡意軟體OtterCookie

日本電信業者NTT針對北韓駭客最新一波針對開發人員的攻擊行動提出警告，指出駭客調整手法，開始將名為OtterCookie的惡意程式納入攻擊鏈，企圖竊取受害者的加密貨幣資產

2025-01-02

新聞 | Windows 11 | BitLocker | bitpixie

Windows 11 BitLocker加密仍有漏洞，實體接觸即可迅速破解

儘管微軟已發布更新，資安研究員Thomas Lambertz仍示範如何利用舊有bitpixie漏洞，透過實體接觸及網路，繞過Windows 11 BitLocker加密取得資料，預計需要到2026年才能夠有效解決

2025-01-02

新聞 | 7-Zip | ACE | LLM

7-Zip傳存在零時差漏洞，7-Zip開發者駁斥此為假消息

7-Zip遭爆存在零時差漏洞，攻擊者可透過壓縮檔執行惡意程式碼，不過7-Zip開發者否認，指漏洞資訊有誤，並質疑是以大型語言模型生成

2025-01-02

新聞 | Azure Data Factory | Apache Airflow | Dirty DAG

微軟資料整合服務Azure Data Factory出現組態配置不當的情況，整合的工作流程管理平臺Apache Airflow恐曝險

資安業者Palo Alto Networks指出，微軟資料整合服務Azure Data Factory的工作流程管理平臺Apache Airflow當中，存在一系列因配置不當產生的弱點Dirty DAG，攻擊者有機會成為地下管理員（Shadow administrator），暗中從事攻擊活動

2025-01-02