資安周報

在這一期資安週報中，以Fortinet與微軟的零時差漏洞遭成功利用的消息最受關注；在資安威脅焦點方面，臺灣又有三家上市櫃公司發布資安事件重大訊息，國際間則有羅馬尼亞1百多家醫院遭網路攻擊，以及法國健保業者客戶傳出影響人數相當於半數民眾的資料外洩事件，另外還有多起與中國駭客網路攻擊活動有關的揭露

這一星期以Ivanti零時差漏洞遭成功利用的消息最受關注，還有Jenkins、Better Search Replace、蘋果日前才修補漏洞已被駭客鎖定利用；在威脅焦點方面，主要有微軟持續揭露公司電子郵件遭入侵的更多細節，以及國際間有施耐德電機與Lush遭勒索軟體攻擊的事故

這一星期國內有三家上市公司發布資安事件重大訊息，首先16日、17日，京鼎、恩德相繼公告遭駭客網路攻擊，19日再有柏文公告「健身工廠」會員個資遭竊；還有涉及GPU與UEFI的漏洞公開揭露，修補狀況有待追蹤

2024年首個零時差漏洞攻擊消息出現，有駭客鎖定Ivanti旗下VPN與網路安全存取產品發動零時差漏洞攻擊，還要注意多個已知漏洞開始有駭客鎖定利用，以及注意修補近期微軟等公司發布的每月例行安全更新；在威脅態勢上，X社群平臺的企業組織帳號遭駭事件有擴大跡象，以及新型態的SMTP Smuggling攻擊手法的揭露

2023最後一星期的漏洞消息，以Barracuda、Apache基金會旗下ERP系統OFBiz，以及Ubuntu的漏洞修補受關注；在威脅焦點方面，這段期間影響最大的議題，涵蓋SSH遠端登入安全、鎖定線上訂房服務與飯店業的網路攻擊，以及電腦遊戲公司先前遭駭的消息

本星期有WebRTC零時差漏洞，以及威聯通與FXC漏洞消息受關注；在威脅焦點方面，關於SSH協定的Terrapin攻擊手法與漏洞的揭露，最需要留意，而資安事件方面，義大利發生供應鏈攻擊事件，PA Digitale多項服務中斷導致該國公部門受影響，起因是當地雲端服務業者Westpole遭網路攻擊

本星期有多個新型漏洞研究的公開揭露，相當值得關切，包括：涉及UEFI開機、韌體圖像解析器的LogoFAIL漏洞、AI模型資源平臺Hugging Face的API漏洞，以及針對藍牙技術底層漏洞的新型攻擊手法Bluffs

本星期有Google、蘋果修補零時差漏洞需重視，特別是存在於Skia繪圖引擎的漏洞又是涉及底層，影響範圍大。全球首份「安全AI系統開發指南」近日出爐，這份由美、英等國發布的AI系統開發指引，將讓開發者在安全設計、安全開發、安全部署及安全維運這4大階段，都能有有適當的安全措施可遵循