資安一周

在這一期資安週報中，有Check Point、Google、JAVS與Linux Kernel的漏洞利用狀況需優先關注；在國內資安事件方面，有電腦硬體製造商Cooler Master、台名保險經紀人公司發生個資外洩的消息。特別的是，臺灣證券交易所5月底宣布，所有遭駭事件現在都要發布重訊，而不僅限於核心系統與機密資料

這一星期有兩個已知漏洞新發現遭利用的消息，包括Apache Flink、NextGen Healthcare的漏洞；在資安威脅態勢方面，以美國AI專家遭鎖定、南海各國政府有8個軍事單位與政府機關受害，以及義大利企業被部署後門程式最受關注，並且都與中國駭客組織攻擊有關

這一星期的漏洞新聞，以Chrome零時差漏洞利用的修補，還有Delinea、F5的漏洞修補值得留意；在資安威脅態勢方面，駭客濫用API的態勢日益增長情形最要關注，近期Dell資安事件疑外洩近5千萬用戶資訊，就是與濫用Dell網站API有關

在今年4月的資安新聞中，有2則物聯網安全規範的新聞最受矚目，一是關於物聯網資安立法，一是關於物聯網部署更快速與安全的標準，但我們更想強調的是，兩起新聞事件背後還有一個共通的特點，都顯示針對IoT預設密碼的安全問題，在2024年將有新的突破

在2024年3月的資安新聞中，有2份重要年度報告出爐，當中統整了2023全年的真實威脅態勢，一是關於零時差漏洞利用，一是關於網路犯罪的BEC詐騙、投資詐騙、勒索軟體攻擊，值得我們關注的是，這些威脅在2023年其實都有相當明確的增長，持續為企業組織帶來更嚴峻的挑戰

在這一星期的漏洞新聞中，思科與CrushFTP的零時差漏洞利用狀況需特別留意，還有8家輸入法供應商被通報多項漏洞的消息；在資安威脅態勢方面，有研究人員向企業提出警告，注意駭客鎖定SAP旗下應用系統攻擊的態勢，以及鎖定網頁伺服器部署Web Shell的攻擊行動

這一星期有微軟、D-Link、Palo Alto Networks的漏洞利用情況須重視，還有多家IT廠商的每月例行安全更新修補發布；在資安事件焦點方面，國內5家上市櫃發布資安事件重大訊息，包括佰研、富野、聯成、聯華、聯合再生，短短一周就有5篇資安事故公告，格外引人注目

這一星期適逢清明連假，而連假前夕最大條的資安消息，就是關於XZ Utils程式庫被植入後門與漏洞的事件，還有2個漏洞利用要注意，包括AI框架Ray與Android Pixel的漏洞；資安事件焦點方面，以CISA的Ivanti伺服器遭駭，及OWASP基金會資料外洩，最受矚目，臺灣也發生亞昕資訊校務行政系統遭駭、7高中受影響的事件