【資安週報】2023年1月16日到1月19日

在這一周的漏洞消息中，最受關注的是就是CentOS主機網頁管理介面元件Control Web Panel（CWP）漏洞CVE-2022-44877，去年10月已有更新修補釋出，如今隨著漏洞技術細節與PoC的公開，開始有駭客組織在攻擊行動中針對這項漏洞鎖定利用。

此外，網路監控系統Cacti在12月修補的CVE-2022-46169漏洞，也傳出被攻擊者鎖定利用於植入惡意軟體的消息。至於其他關注漏洞消息，包括WordPress三個外掛程式、Git的重大漏洞修補，以及Oracle季度例行性修補。

在資安新聞焦點方面，有研究人員在發現微星主機板預設執行任意程式的狀況，由於這將使得安全開機（Secure Boot）變得沒有作用，因而受到廣泛關注，該研究人員其實自去年12月於網路上多人討論此事，並在1月13日公布這項發現。而在攻擊新態勢上，除了有研究人員持續發現自帶驅動程式攻擊（BYOVD）的手法，還有濫用雲端IDE服務GitHub Codespaces的攻擊手法揭露。

另外值得留意的是，月初CircleCI發布公告說明正調查資安事件，如今已有最新調查結果公布，該公司指出攻擊者之所以能從遠端盜用身分獲得存取控制權限，原因出在其工程師筆電在半個月前遭植入惡意軟體，攻擊者進而劫持了有效的2FA SSO Session Cookie。

【1月16日】WordPress網站外掛程式存在SQL注入漏洞、網路監控系統Cacti漏洞被用於植入惡意軟體

又有WordPress外掛程式出現重大漏洞，而有可能被用於攻擊行動的情況！資安業者Tenable一口氣揭露3款外掛程式的SQL注入漏洞，其中有2個漏洞不需身分驗證就能利用，CVSS風險層級達到9.8分，但研究人員指出，第3個漏洞雖然需要通過身分驗證，但駭客只要以讀者的身分註冊，就有機會觸發。

針對網路監控系統Cacti特定漏洞而來的攻擊行動，也同樣引起研究人員的高度關注。兩家資安業者與非營利安全組織提出警告，他們發現12月修補的漏洞CVE-2022-46169已被用於攻擊行動，但全球至少有四分之一的Cacti實體執行含有漏洞的版本。

防毒軟體提供的密碼管理工具也可能成為帳號填充（Credential Stuffing）攻擊的目標！資安業者Gen Digital向防毒軟體NortonLifeLock用戶發送通知，表示部分用戶的密碼管理器遭到相關攻擊而導致帳號被挾持，儲存的帳密恐遭到外洩。

【1月17日】雲端資安業者Datadog金鑰因CircleCI遭駭而曝光、主機管理介面元件CWP漏洞已被用於攻擊行動

DevOps業者CircleCI甫於昨日（1月16日）公布資安事故的調查結果，現在有雲端服務業者證實他們也受到這起事故波及，但初步認定僅有部分使用者有可能曝險。

被用於管理CentOS伺服器的元件Control Web Panel（CWP），在10月底被修補的漏洞CVE-2022-44877近期出現了攻擊行動，使得研究人員呼籲IT人員應儘速套用新版程式。

主機板廠商調整的UEFI配置也有可能造成風險。有研究人員發現微星在一年前更動主機板韌體的預設配置，有可能導致近300款主機板的UEFI安全開機機制失效。

【1月18日】研究人員揭露濫用GitHub Codespaces的攻擊手法，微軟修補Azure服務4項SSRF漏洞

新興的雲端開發工具有可能被駭客拿來散布惡意軟體！近日資安業者趨勢科技揭露濫用雲端IDE服務GitHub Codespaces的攻擊手法，並表示攻擊者還能透過事先設定完成相關組態的容器，建置更多惡意網站。

研究人員針對微軟去年第4季修補的Azure伺服器端請求偽造（SSRF）漏洞說明細節，並指出有部分的漏洞不需身分驗證就能夠被利用，甚至攻擊者沒有Azure帳號也進行相關攻擊。

Oracle於1月17日發布今年的第1個每季例行修補，當中針對多項產品發布更新，其中，資料庫系統MySQL就修補了近40個漏洞而相當值得留意。

【1月19日】Git修補3個重大RCE漏洞；印度人力銀行網站因資料庫配置不當而曝露近千萬筆個資

GitLab最近釋出新版本，目的是修補三個漏洞，值得關注的是，其中CVE -2022-41903、CVE-2022-23521都是重大層級漏洞，GitLab呼籲用戶盡速更新，對於無法立即更新的用戶，他們也提供了一些可降低風險的建議步驟供用戶暫時應變。

勒索軟體的危害持續受企業關注，最近有資安業者表示，對於近來攻擊活動頻繁的BianLian勒索軟體，他們打造出解密工具，讓既有受害者能夠得以恢復檔案。

資料庫配置不當的問題又一樁，這次研究人員揭露的是印度人力銀行Rocket有大批客戶資料因存放在可公開存取的資料庫而曝險，再次突顯雲端管理疏失的問題。