<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">1010-1016一定要看的資安新聞</strong></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>雲端金鑰安全、資料外洩</strong></span></h3>
<h2><strong>Imperva資料外洩原因出爐：AWS API金鑰被盜</strong></h2>
<p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖5）Imperva Key Takeaways_圖片來源_擷取自Imperva.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Imperva%20Key%20Takeaways_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%93%B7%E5%8F%96%E8%87%AAImperva.JPG" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Imperva官方網站</span></p>
<p>專門提供網路安全軟體及服務的資安業者Imperva，在今年8月坦承，該公司雲端防火牆產品Cloud Web Application Firewall（Cloud WAF）客戶的資料外洩，近日他們公布調查結果，指出是因AWS API金鑰被盜，才導致客戶資料曝光。</p>
<p>Imperva表示，2017年時該公司正開始採納雲端技術，並要改用AWS的關聯式資料庫服務（RDS），當時他們建立了一個資料庫快照來進行評估測試，並建立了可從外部存取的內部運算實例，而該環境包含AWS API密鑰，之後，駭客發現這個虛擬器並攻破，因此該密鑰也被竊取。<a href="https://www.ithome.com.tw/news/133591"><span style="color:#A9A9A9;">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>sudo漏洞</strong></span></h3>
<h2><strong>Linux的sudo指令遭爆含有可取得最高權限的安全漏洞</strong></h2>
<p class="rteright"><strong style="text-align: right;"><a href="https://s4.itho.me/sites/default/files/images/（圖1）Potential bypass of Runas user restrictions_圖片來源SUDO.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Potential%20bypass%20of%20Runas%20user%20restrictions_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90SUDO.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自sudo</span></p>
<p>Linux系統管理指令sudo的官網近日提出警告，指出sudo指令含有編號為CVE-2019-14287的安全漏洞，將允許無特權的使用者取得root最高權限，以執行任何命令。根據sudo的說明，當在runas規格中使用All關鍵字時，就能讓sudo用戶以任何使用者的身分執行命令，然而，這個漏洞可繞過runas的使用者限制，即便在runas規格中明訂在採用ALL關鍵字時，禁止最高權限的存取也一樣沒輒。目前，Sudo團隊已釋出1.8.28版，以修補該漏洞。<a href="https://www.ithome.com.tw/news/133605"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>軟體漏洞、勒索軟體</strong></span></h3>
<h2><strong>Windows版iTunes零時差漏洞遭濫用，散布BitPaymer勒索軟體</strong></h2>
<p>近日安全公司Morphisec Labs發現，有駭客利用Windows版iTunes及iCloud for Windows的零時差攻擊漏洞，以躲過防毒軟體偵測，對用戶散布勒索軟體BitPaymer。值得注意的是，這隻勒索軟體使用物件導向程式開發中，常見錯誤所引發的漏洞，混入蘋果的Bonjour Updater軟體元件，而且即使Windows用戶移除iTunes，也難逃被感染，因為Bonjour Updater軟體元件並無法被同步刪除</p>
<p>由於新版macOS 10.15 Catalina推出後，iTunes將不再提供，轉變為各個獨立App，因此，這項漏洞主要影響的是Windows版用戶，經研究人員向蘋果通報後，蘋果現已發布修補漏洞的新版，包括iTunes 12.10.1，以及iCloud for Windows 10.7。由於已有攻擊發生中，安全公司也呼籲，用戶儘速升級到最新版程式及防毒軟體。<a href="https://www.ithome.com.tw/news/133574"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>多因素認證、密碼安全</strong></span></h3>
<h2><strong>LastPass：已有57%企業採用多因素認證</strong></h2>
<p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖2）USING MFA BY COMPANY SIZE_圖片來源Lastpass.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89USING%20MFA%20BY%20COMPANY%20SIZE_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Lastpass.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自LastPass</span></p>
<p>近日，密碼管理工具開發商LastPass發布第三屆全球密碼安全報告（Global Password Security Report），主要針對4.7萬家客戶調查，結果顯示，已有57%的企業要求員工採用多因素認證（MFA），比去年的45%增加了12%。最熱門的MFA解決方案是軟體形式，佔95%，採用硬體解決方案的只有4%，採用生物辨識解決方案為1%。</p>
<p>以採用MFA的產業別而言，科技/軟體產業比例最高，為37%，其他依序是教育界（33%）、金融業（32%）、通訊業（31%）及政府組織（27%）。此外，規模愈大的企業採用MFA的比例也愈高，在此研究調查中，員工數1萬名以上的企業，採用率高達87%，員工1千到1萬名的企業也有78%，員工1千名以下的企業則只有44%。<a href="https://www.ithome.com.tw/news/133561"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>資安認證</strong></span></h3>
<h2><strong>BSI和SGS核發的ISO 27001證書，暫時不能掛上全國認證基金會TAF標誌</strong></h2>
<p>在10月初，全國認證基金會（TAF）公告將BSI或SGS這兩家驗證機構，納入資安安全管理系統的減列名單，使兩家業者核發的資安證書不得掛TAF標誌，引發企業與政府組織一連串的關注。目前，BSI或SGS已指出，企業客戶若有ANAB或UKAS核發ISO 27001證書，仍為有效；行政院資安處也表示，資安法規定取得TAF證書，有三年緩衝期；全國認證基金會執行長許景行則指出，兩家公司如果可以儘快改正評鑑缺失項目，在2020年1月2日後，就可以重新申請恢復增列。目前，BSI和SGS都將於3個月後申請增列。<a href="https://www.ithome.com.tw/news/133561"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>開源軟體漏洞</strong></span></h3>
<h2><strong>macOS終端模擬器iTerm2存在重大漏洞</strong></h2>
<p>由Mozilla資助的安全審核計畫，近期委託資安業者Radially Open Security對熱門的macOS終端模擬器iTerm2，執行安全審查，結果發現iTerm2中的tmux整合功能有嚴重的漏洞，而且漏洞至少已經存在7年，若該漏洞遭濫用，在多種情況下，允許攻擊者可對終端裝置產生惡意輸出，以便在使用者的電腦上執行命令。iTerm2開發者現在已經發布最新的3.3.6版本，Mozilla提醒使用者應該要盡快更新。<a href="https://www.ithome.com.tw/news/133559"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>軟體安全更新終止</strong></span></h3>
<h2><strong>Office 2010一年後就會終止延伸支援，不再提供安全性更新</strong></h2>
<p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）微軟Office 2010 EOP_圖片來源擷取自微軟.JPG"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E5%BE%AE%E8%BB%9FOffice%202010%20EOP_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E5%BE%AE%E8%BB%9F.JPG" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自微軟官網</span></p>
<p>近日，微軟公告Office 2010的延伸支援將在2020年的10月13日終止，意謂著在一年後產品壽命結束，雖然該產品依然可繼續運作，但微軟將不再釋出該產品的安全更新，因而呼籲用戶應在這一年間儘快升級。一般使用者可升級至Office 365個人／家用版，或是Office 2019家用版；而企業用戶的升級選項，則是Office 365商務基本版／商務版和商務進階版。微軟高層則建議大型企業直接選擇Office 365專業增強版。<a href="https://www.ithome.com.tw/news/133559"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>軟體漏洞、HP</strong></span></h3>
<h2><strong>HP電腦預安裝軟體出現可被接管系統的漏洞</strong></h2>
<p>安全廠商Safebreach研究人員Peleg Hadar發現，HP電腦內建的軟體Touchpoint Analytics存在漏洞。該漏洞編號為CVE-2019-6333，可能讓本地攻擊者上傳未簽章的惡意DLL檔案，載入具管理員權限的服務中，達成權限提升和滲透，經研究人員通報後，HP已經釋出最新版本修補。基本上，該軟體用於匿名蒐集及診斷硬體效能，並進行磁碟掃描及電池測試，而這次漏洞影響4.1.4.2827之前版本，雖然該漏洞的CVSS評分為6.7，屬於中低度風險，但是由於每臺HP電腦都安裝這套軟體，HP仍呼籲使用者儘速升級。<a href="https://www.ithome.com.tw/news/133582"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>電信詐騙、個資外洩</strong></span></h3>
<h2><strong>臺越警方合作破獲跨境電信詐騙機房，美國華人移民是主要受害者</strong></h2>
<p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖3）臺越警方破獲詐騙「美國華人」為主的跨境電信詐騙機房_刑事警察局.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E8%87%BA%E8%B6%8A%E8%AD%A6%E6%96%B9%E7%A0%B4%E7%8D%B2%E8%A9%90%E9%A8%99%E3%80%8C%E7%BE%8E%E5%9C%8B%E8%8F%AF%E4%BA%BA%E3%80%8D%E7%82%BA%E4%B8%BB%E7%9A%84%E8%B7%A8%E5%A2%83%E9%9B%BB%E4%BF%A1%E8%A9%90%E9%A8%99%E6%A9%9F%E6%88%BF_%E5%88%91%E4%BA%8B%E8%AD%A6%E5%AF%9F%E5%B1%80.png" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／刑事警察局</span></p>
<p>近日我國國際刑警科宣布，與越南警方合作，破獲位於胡志明市第九郡的跨境電信詐騙機房，共逮捕了24名臺灣嫌犯，查獲多臺筆電、平板、手機，以及教戰手冊等，現已遣返回臺偵辦。值得注意的是，該集團以詐騙美籍華人為主，聲稱破獲販運孩童案件，並從查扣涉案帳戶中，發現被害人所申請的銀行帳戶，因此要求被害人將帳戶款項匯至指定帳戶監管，否則將提報美國政府機關註銷綠卡（美國居留證），這起詐騙手法，主要利用海外華人剛處於適應新環境階段，以及國外警方尚未熟悉此類跨境詐騙模式，不易求助諮詢。警方表示，詐騙集團可能從非法管道獲取移民個資，呼籲旅居各國的華人，應對此詐騙手法加強注意。<a href="https://www.cib.gov.tw/News/Detail/40509"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h4><span style="color:#0099ff;"><strong>更多資安動態</strong></span><br /><a href="https://www.ithome.com.tw/news/133560">雲端電子商務平台Volusion的結帳頁面被注入惡意程式</a><br /><a href="https://www.ithome.com.tw/news/133492">熱門UI設計工具Figma的擴充套件系統存在漏洞，官方抽換底層基礎架構</a><br /><a href="https://www.ithome.com.tw/news/133603">Safari將用戶上網資訊傳給騰訊？蘋果：未傳送實際網址</a><br /><a href="https://www.ithome.com.tw/news/133566">歐盟5G網路風險評估報告：對供應商的依賴將擴大駭客攻擊表面</a><br /><a href="https://www.ithome.com.tw/news/133609">Windows 10加入防竄改功能，防止惡意程式關閉防毒軟體</a><br /><a href="https://www.ithome.com.tw/news/133615">智慧醫療當道！衛福部揭露電子病例多元應用與資安管理挑戰</a><br />
</h4>
</div></div></div>
