【資安日報】8月21日，PHP重大漏洞出現攻擊行動，駭客已藉此在臺灣的一間大學院校植入後門

兩個月前臺灣資安業者戴夫寇爾揭露的PHP漏洞CVE-2024-4577，當時提到使用正體中文、簡體中文、日文語系的視窗作業系統用戶會受到影響，如今傳出實際資安事故，本週有資安公司指出臺灣有大學因為這個漏洞未修補而遭到攻擊，被駭客植入後門程式。

值得注意的是，他們發現有多組人馬嘗試找尋下手目標的情況，這代表相關攻擊行動將會接連出現。

【攻擊與威脅】

臺灣有大學遭到PHP漏洞攻擊，駭客在受害主機植入後門程式

今年6月臺灣資安業者戴夫寇爾（Devcore）揭露PHP程式語言重大層級漏洞CVE-2024-4577，這項漏洞存在於CGI參數而有可能被用於注入攻擊，CVSS風險評分達到了9.8（滿分10分），如今傳出實際的攻擊行動。

資安業者賽門鐵克昨天（8月20日）揭露針對臺灣一所大學院校的後門程式Msupedge攻擊行動，而這支後門程式的感染途徑，很有可能就是利用前述漏洞而得逞。值得留意的是，研究人員發現有多組人馬正在尋找存在相關弱點的系統，而對於攻擊者的身分及動機，他們表示並不清楚。

其他攻擊與威脅

◆惡意程式UULoader被用來散布Gh0st RAT、Mimikatz

◆惡意程式TodoSwift鎖定macOS用戶，駭客宣稱提供比特幣與PDF應用程式散布

【漏洞與修補】

供用戶贊助經營者的WordPress外掛程式GiveWP存在重大漏洞，10萬網站逾半數曝險

專注於WordPress網站安全的資安業者Wordfence指出，他們在今年5月下旬接獲通報，得知提供用戶向網站所有者進行捐款的外掛程式GiveWP存在重大層級漏洞CVE- 2024-5932，未經身分驗證的攻擊者有機會藉由注入PHP物件觸發漏洞，利用屬性導向程式（Property Oriented Programming，POP）攻擊鏈遠端執行任意程式碼（RCE），或是刪除任意檔案，此弱點的CVSS風險評分達到10分（滿分為10分），影響3.14.1版以前的GiveWP，軟體開發商已於8月7日發布3.14.2版予以修補。由於該外掛程式有超過10萬個網站採用，Wordfence呼籲管理者應儘速套用新版軟體。

數千個Oracle雲端ERP系統NetSuite組態配置不當，曝露客戶敏感資料

資安業者AppOmni指出，Oracle旗下的雲端ERP平臺NetSuite廣泛存在用戶配置錯誤的情況，有可能導致敏感的客戶資料在數千個網站上曝露。這項問題存在於名為SuiteCommerce電商網站元件，起因是自訂記錄類型（Custom Record Types，CRT）的存取控制錯誤組態造成。對此，研究人員呼籲，系統管理員應加強CRT項目的存取控制，避免敏感資料的欄位可被公開存取，並考慮將受影響的網站下線，以防止資料外洩的危機。Oracle也針對研究人員的發現引入額外措施，防止資料不慎洩露給未經身分驗證的用戶，他們也提供最佳實作供IT人員參考。

根據調查，有數千個公開的SuiteCommerce受到影響。研究人員指出，採用這套ERP系統但無意建置購物網站的企業，很有可能不會注意到系統根據採購情形已設置了預設的庫存網站，而且這個網站還是能夠公開存取。而根據他們的觀察，這些網站最常曝露的敏感資料，就是能夠識別已註冊客戶的個人資料（PII），這當中通常包含完整的地址與行動電話號碼。

其他漏洞與修補

◆研究人員揭露TLS引導攻擊手法，可針對Azure Kubernetes叢集下手

◆M365應用程式macOS版存在共通漏洞，攻擊者有機會藉此繞過系統權限

◆F5修補BIG-IP、Nginx Plus高風險漏洞

【資安產業動態】

安卓版Chrome將在共享螢幕時隱藏敏感資訊

根據資安新聞網站Bleeping Computer報導，有研究人員在Canary頻道安卓版Chrome測試版的Flag發現，該瀏覽器會在螢幕共享、螢幕錄製時，以黑色塗蓋敏感內容。根據功能描述，這項功能啟用時，如果Chrome偵測到敏感表格欄位，如信用卡或密碼，在螢幕共享、螢幕錄製或類似動作進行時，整個內容區域會被蓋掉。這功能只支援Android 15（Android V）以上版本的裝置。

此功能可提高一般大眾的資訊安全防護。目前只有無痕模式（incognito）才有隱藏敏感資訊的功能。由於現在還在Canary測試版，預計要再等幾周才會部署到Chrome正式版。

Windows 11 24H2預設啟用BitLocker裝置加密

從24H2更新開始，全新安裝及重灌Windows 11的個人電腦，若是使用者在安裝過程登入微軟帳號，將會自動啟用BitLocker磁碟加密機制保護資料安全。但企業用戶、透過自動更新機制升級24H2的用戶，以及使用本機帳號登入的用戶，將不會自動啟用BitLocker。

微軟打算對個人用戶預設啟用BitLocker的傳聞，大約今年5月出現，並得到微軟證實。但此舉引起用戶反彈，其中最重要的原因，在於用戶若是遺失加密金鑰，將無法存取裝置內的檔案；再者，科技新聞網站Tom's Hardware指出，啟用該機制將明顯降低電腦效能，固態硬碟讀寫速度最多有可能減少45%。

近期資安日報

【8月20日】駭客散播可呈現仿造OS更新畫面的執行檔，背後卻是在電腦偷資料

【8月19日】Google Pixel驚傳內建具有高度權限的第三方元件

【8月16日】美國總統大選兩大陣營遭伊朗駭客APT42鎖定，駭客進行目標式攻擊