[閒聊] 資安雙週報 250215

看板NetSecurity (資安資訊安全)作者CMJ0121 (不安全研究員)時間4天前 (2025/02/15 06:38)推噓3(3推 0噓 5→)

留言8則, 2人參與討論串1/1

==== 資安雙週報 (250215) ==== 初一十五除了呷菜喔外也要關心一下安全圈的消息 - 你今天是否裸奔了? - 不要讓你的手機裸奔 - Go 的 Supply Chain Attack - AI 版本的放大攻擊 - GoDaddy 被要求改善? ## ======== 你今天是否裸奔了? ======== ## 根據報導[0] 有超過 3k 以上的 ASP.NET 專案在公開專案或者程式碼文件中洩漏金鑰導致攻擊者可以直接使用之後用來安裝與散步 Godzilla ## ======== 不要讓你的手機裸奔 ======== ## Android 安全性公告[1]表示有若干安全性更新其中最嚴重可能讓攻擊者不需具有額外執行權限即可提升實體權限 ## ======== Go 的 Supply Chain Attack ======== ## 研究人員[2]公布一種 Go 生態系的 supply chain attack 透過冒充攻擊 BoltDB 套件 (malicious typosquat package) 植入一個可 RCE 的後門程式當攻擊者成功透過 Go Module Mirror 造成快取污染後快取伺服器 (Proxy) 會持續提供受污染的版本 ## ======== AI 版本的放大攻擊 ======== ## TWCertCC[3] 分享德國資安研究員的報告發現 ChatGPT 存在一個 DDoS 攻擊的可能性透過向 ChatGTP 發起詢問可以將請求放大 20 ~ 5000 或更大的請求造成 DDoS 的可能性因為請求來自 ChatGTP 受害網站難以追蹤攻擊來源 ## ======== GoDaddy 被要求改善? ======== ## 來自網路文章[4] 分享 Hacker News 上的文章 GoDaddy 因為資安問題而被 FTC 要求建立更安全的資安計畫 [0]: https://www.ithome.com.tw/news/167281 [1]: https://source.android.com/docs/security/bulletin/2025-02-01?hl=zh-tw [2]: https://401.tw/fuDE [3]: https://www.twcert.org.tw/tw/cp-104-8412-5289c-1.html [4]: https://401.tw/PNc7 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 220.138.111.181 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/NetSecurity/M.1739572717.A.D00.html