一周大事：美國對Exchange漏洞災情發布緊急指令。鴻海成立新能源車產業資安聯盟

發現Exchange兩項漏洞的戴夫寇爾研究員蔡政達（Orange Tsai）坦言，這可能是他遇過最嚴重的遠端程式碼執行（RCE）漏洞，使用單位必須盡快安裝更新版本或進行緩解措施。（上圖僅為情境示意）

Exchange漏洞災情升溫，美方發布緊急指令

根據部落格KrebsonSecurity的報導，近期爆發的Exchange攻擊行動，美國至少有3萬臺伺服器被駭，全球更有數十萬臺遭感染。

微軟於3月2日發出安全公告，指出中國駭客組織利用Exchange的4項零時差漏洞，駭入本地部署郵件系統的組織，目的在竊取私密郵件，微軟已針對受影響的Exchange版本，釋出更新。

美國網路安全暨基礎架構安全署（CISA）評估這次Exchange漏洞風險層級、實際發生的攻擊災情，以及政府單位使用Exchange的普及程度之後，也發出第2號緊急指令，要求聯邦政府單位立即清查本地部署的Exchange伺服器環境，檢視是否有入侵指標或異常情形。

相關漏洞揭露，根據臺灣資安業者戴夫寇爾說明，去年12月他們發現上述Exchange兩個漏洞，於1月5日向微軟示警。更多內容

微軟能發現存在逾10年的Exchange重大漏洞，臺灣研究人員的通報是關鍵

歐洲銀行業管理局坦承因Exchange漏洞被駭

微軟針對Exchanger漏洞釋出惡意程式偵測工具

濫用Exchange重大漏洞的駭客不只一組！ESET發現超過10組APT駭客加入行列

ESET：已有十多個駭客組織正在開採Exchange Server的ProxyLogon漏洞

鴻海成立新能源車產業資安聯盟，聚集臺資安業者看自駕車安全議題

攝影_羅正漢

隨著Tesla這些年來的發展與帶動，電動自駕車正顛覆傳統汽車產業，現在Apple也看重此一市場，而臺灣產業也開始發力，例如，鴻海在去年10月宣布組成MIH電動車平臺聯盟，期盼藉此促進國內外產業的機會，近日，他們更攜手多家資安業者，舉辦電動車資安挑戰的論壇，同時，也宣布新能源電動車產業資安聯盟正式成軍。

汽車大廠將目標放在電動自駕車，朝向軟體定義發展是大勢所趨，而MIH聯盟更強調開放平臺，期望加速E-vehicle產業的創新與發展。

這樣的態勢有如過去iPhone顛覆傳統手機，以及Android平臺的崛起，正因蘋果開放SDK與開發者平臺，Android出現後甚至開放軟硬體，讓每個公司都能發展智慧型手機。

但當前汽車產業幾乎還是採用封閉系統，因此，鴻海集團董事長劉揚偉表示，MIH聯盟的企圖，就是透過開放的技術規格，結合各界來共同建構電動車軟硬體，以及零組件的生態系。更多內容

打造語音應用更簡單，Alexa新技能開發工具來了

圖片來源／Amazon

旨在簡化Alexa技能開發工作的Alexa Skills Kit對話管理器Alexa Conversations，現在釋出正式版本。根據Amazon的說明，Alexa Conversations是以深度學習為基礎的語音應用開發工具，對於熟悉基礎機器學習架構，以及Node.js和Python程式語言的開發者特別好用，只要存取控制臺中的創作工具，就能夠開始建構語音應用。更多內容

版本快過期的Windows裝置將收到強制更新通知

圖片來源／微軟

Windows 10 20H2釋出5個月後，微軟宣布被系統判斷可以安裝20H2（或任何最新更新）的Windows 10電腦，即日起將透過Windows Update釋出給用戶。還沒安裝20H2的用戶，可能這一陣子就會接到強迫更新的通知。更多內容

Windows 10將內建微軟自家RPA軟體

圖片來源／微軟

在3月Ignite大會上，微軟宣布機器人流程自動化（RPA）技術Power Automate桌機版，將整合進Windows 10，即日起用戶可以下載Power Automate桌機版，這款工具也將包含在Windows Insider預覽版。Power Automate桌機版強調預建400項「action」可串聯SharePoint、Excel、Outlook、第三方系統如SAP、其他網站、舊式終端及大型主機。用戶可在單一介面以拖拉方式整合預錄的桌機及網頁actions，不需撰寫程式碼。更多內容

微軟Teams將對網路通話提供端對端加密

圖片來源／微軟

為了解決客戶的安全及法遵等問題，Teams將在通話中提供端對端加密服務，以利用戶執行機密性的網路通話，企業的IT人員得以評估及決定哪些人可以使用E2EE服務，但初期將只支援一對一的非排程VoIP通話，例如當網管人員要提供密碼予員工時便能使用。更多內容

McAfee出售企業安全資產，專注消費業務

圖片來源／McAfee

老牌安全廠商McAfee宣布出售企業安全業務，把發展重心放在消費端產品。McAfee將企業安全業務包括部門員工及資產，以40億美元現金出售給Symphony Technology Group率領的投資團隊。買主Symphony Technology Group去年也買下認證及加密方案業務RSA。TechCrunch認為McAfee企業安全及RSA或可有某種程度的搭配，因為他們都是技術優異的公司，只是趕不上技術更新的競爭者。更多內容

Flutter 2終於可發布5大平臺原生應用

日前Google發布跨平臺UI框架Flutter主要版本更新Flutter 2，跨平臺共用程式碼支援範圍除了iOS、Android，更新增Windows、macOS和Linux作業系統，還針對Chrome、Firefox、Safari和Edge瀏覽器最佳化網頁體驗，Flutter甚至可以被嵌入到汽車、電視和智慧家電中。更多內容

FireEye、微軟揭露能迴避SolarWinds事故調查的惡意軟體

SolarWinds供應鏈攻擊仍有謎團未解開，多家資安廠商為此持續調查，近期新進展包括FireEye與微軟各自揭露了最新發現的惡意軟體，其主要特點是具備藏匿惡意流量的能力。更多內容

線上交易盜刷攻擊已能破解3DS驗證

圖片來源_Gemini Advisory

為了盜刷受害者的信用卡牟利，駭客鎖定日漸普及的3D Secure機制（3DS），破解在線上交易中的身分驗證流程，並在暗網裡探討相關手法，恐使得相關攻擊更加氾濫。更多內容

AdGuard公開6千款瀏覽器擋不掉的網頁追蹤器

圖片來源／AdGuard

AdGuard釋出逾6千款秘密追蹤器的名單，協助第三方阻止這批濫用CNAME（Canonical Name）紀錄的秘密追蹤器。AdGuard表示，瀏覽器無法避免CNAME偽裝追蹤，但內容封鎖器卻可以，然而這類擴充程式無法動態解析主機名稱並刪除追蹤器，於是AdGuard承諾持續更新這批秘密追蹤器資訊，讓第三方封鎖程式得以將它們嵌入過濾名單中。更多內容

熱門新聞