這兩天引起全球資安圈高度關注的議題,莫過於美國政府委託MITRE維護「常見漏洞披露(CVE)」資料庫與「通用缺陷列表(CWE)」的合約到期,由於波及所有採用CVE分析漏洞的企業組織,影響層面將可能相當廣泛。

事隔一天,美國政府決定依照合約延長維護CVE的時間,該服務暫時免於中斷的災難。但這起風波也凸顯CVE長期倚賴單一國家政府資助的問題,CVE董事會決議轉型非營利基金會。

 

【漏洞與修補】

蘋果修補已被用於實際攻擊iPhone的CoreAudio、RPAC零時差漏洞

4月16日蘋果發布iOS 18.4.1、iPadOS 18.4.1、macOS Sequoia 15.4.1、tvOS 18.4.1、visionOS 2.4.1,修補兩項零時差漏洞CVE-2025-31200、CVE-2025-31201,值得留意的是,蘋果表明這些弱點已被用於發動極度複雜的攻擊行動,鎖定特定人士的iPhone下手。

根據CVSS風險評分,較為嚴重的是評為高風險的CVE-2025-31200,此漏洞存在於CoreAudio元件,一旦處理含有惡意多媒體檔案的音訊串流,就有可能導致程式碼執行,CVSS風險評為7.5。

另一項漏洞CVE-2025-31201,則是存在於RPAC元件,具備任意讀取及寫入權限的攻擊者有機會繞過Pointer Authentication驗證機制,風險值為6.8。

PHP核心執行環境稽核揭露多項漏洞,衝擊PHP-FPM與加密模組安全性

PHP核心原始碼php-src近期完成由Quarkslab執行的安全性稽核,揭露多項高風險與中度風險漏洞,影響範圍涵蓋PHP-FPM、MySQL驅動與OpenSSL等關鍵模組。該稽核由Sovereign Tech Agency出資,透過開源技術改進基金會(OSTIF)協調,並獲得PHP基金會全力配合,進一步改善即將發布的PHP 8.4版本安全性。

稽核結果共發現27項問題,其中17項具有安全性風險,包含3項高風險、5項中度風險與9項低風險問題,另有10項屬於資訊性弱點。多數問題已在GitHub安全通報揭露,另有兩項尚未公開之高風險漏洞仍在修補中,預計於修正完成後正式公布。

已公布的CVE包含CVE-2024-8929,指出MySQL驅動可能透過惡意伺服器觸發堆積緩衝區過讀(Over-Read),洩露先前請求內容;CVE-2024-9026涉及PHP-FPM日誌訊息潛在竄改風險;CVE-2024-8925為表單資料解析錯誤,可能導致誤解資訊;CVE-2024-8928則為記憶體管理異常可能造成記憶體區段錯誤。

其他攻擊與威脅

多組人馬運用NTLM資安漏洞從事攻擊行動

逾1.6萬臺Fortinet防火牆曝露於「符號連結」弱點

CrazyHunter駭客鎖定臺灣而來,運用來自GitHub的工具犯案

其他漏洞與修補

Google、Mozilla修補Chrome 135、Firefox 137高風險漏洞

Oracle發布2025年4月更新,修補180個資安弱點

 

【資安產業動態】

針對MITRE維護CVE和CWE合約到期,美國政府延長合約因應

有人取得負責美國國土安全部窗口的MITRE主任Yosry Barsoum發出的信件,內容是向CVE委員會透露,4月15日廣泛受到全球資安領域採用的「常見漏洞披露(CVE)」資料庫,以及「通用缺陷列表(CWE)」等多項專案的維護合約即將到期,影響層面將會相當廣泛,現在出現新的發展。

美國網路安全暨基礎設施安全局(CISA)表示,他們決定將延長提供資金的時間,讓CVE專案的服務不致間斷。CISA指出CVE專案對於資安社群極為寶貴,也是他們的優先項目,他們在15日晚間執行了合約當中的延長選項來因應此事。CISA向資安媒體Bleeping Computer、SecurityAffairs透露,合約將延長11個月。

雖然CVE暫時逃過停止運作的情形,但在CISA承諾持續提供資金之前,CVE的部分成員決定成立獨立的CVE基金會來因應。該基金會的成立,代表CVE專案這項弱點管理生態圈開始排除單點故障的情況,並確保該專案能持續受到全球信任、以社群驅動邁出重要的一步。他們也將公布CVE基金會的組織架構、過渡規畫,以及社群參與機會等相關細節。

【臺灣資安大會直擊】趨勢科技:企業可以LLM應用架構設計安全邊界檢視風險,以LEARN方法論強化LLM應用安全

生成式AI帶動大語言模型應用,然而企業使用大語言模型(LLM),不論是自行訓練或是微調,可能產生資安風險,趨勢科技架構師蔡凱翔建議,可從大型語言模型應用程式的發展生命周期,利用方法論去檢視開發階段中的安全邊界,降低相關的資安風險。

「大語言模型的開發生命周期,就是一種機器學習和DevOps的綜合體」,蔡凱翔說,趨勢科技針對大語言模型的資安風險發布報告,建立一套檢視LLM安全的方法論,他在今年臺灣資安大會上對外分享如何實作大語言模型的資安實務。

他表示,一般而言,資安會發生在信任程度發生變化的時候,例如系統外面的使用者發送的請求,或是使用第三方的套件,這些都是由外到內的過程中,信任程度發生變化,「從LLM應用架構來看,哪些部分會帶來信任程度的改變,就是需要留意是否發生風險的地方」。

GitHub推出Security Campaigns,讓企業系統化處理資安債成開發日常

GitHub宣布正式推出Security Campaigns功能,提供GitHub Advanced Security與GitHub Code Security用戶使用,助企業開發者與資安團隊在既有程式碼,系統性發現並修補尚未解決的安全漏洞,以降低長期累積的安全債風險。

雖然不少開發團隊已將修補安全漏洞的工作,納入日常拉取請求流程,透過GitHub的Code Scanning與Copilot Autofix功能,自動偵測與修復新出現的安全問題,但GitHub指出,對於已經存在於程式碼庫的舊漏洞,開發者往往缺乏系統性管理與處理的機制,導致安全債長期累積。

Security Campaigns的設計針對此一痛點,其運作方式由資安團隊主導,對企業內多個程式庫進行漏洞風險盤點與篩選,決定優先處理的問題範疇,例如可依據MITRE已知十大常見漏洞類型,或組織自訂條件篩選,建立一個活動範圍明確的修補專案,並設定處理期限。

 

近期資安日報

【4月16日】MITRE停止維護CVE等多項專案,恐波及全球資安漏洞分析

【4月15日】總統親臨臺灣資安大會致詞,從國家戰略、產業政策彰顯資安

【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊

熱門新聞

Advertisement