中心公告

上一頁　下一頁　　至頁底

【漏洞預警】Google Chrome、Microsoft Edge、Brave及Vivaldi瀏覽器存在安全漏洞

2023/04/25

【漏洞預警】Google Chrome、Microsoft Edge、Brave及Vivaldi瀏覽器存在安全漏洞(CVE-2023-2133至CVE-2023-2137)，允許攻擊者遠端執行任意程式碼，請儘速確認並進行更新！

CVE-2023-2133、CVE-2023-2134、CVE-2023-2135、CVE-2023-2136、CVE-2023-2137

【影響平台】

● Google Chrome 112.0.5615.137(不含)以下版本
● Microsoft Edge(Based on Chromium) 112.0.1722.54(不含)以下版本
● Brave 1.50.121(不含)以下版本
● Vivaldi 6.0.2979.15(不含)以下版本

【說明】

發佈編號：TACERT-ANA-2023042503045656 (轉發 國家資安資訊分享與分析中心 NISAC-ANA-202304-1213)

研究人員發現Google Chrome、Microsoft Edge、Brave及Vivaldi等以Chromium為基礎之瀏覽器存在使用整數溢位(Integer Overflow)、越界記憶體讀取(Out of Bounds Memory Read)、使用已釋放記憶體(Use After Free)及堆積緩衝區溢位(Heap Buffer Overflow)等5個高風險漏洞，其中CVE-2023-2136已遭惡意利用，遠端攻擊者可藉由誘騙受駭者瀏覽利用此漏洞撰寫之惡意網頁，進而執行遠端任意程式碼。

情資分享等級: WHITE(情資內容為可公開揭露之資訊)

[建議措施:]
一、請更新Google Chrome瀏覽器至112.0.5615.137(含)以上版本，更新方式如下：
1.開啟瀏覽器，於網址列輸入chrome://settings/help，瀏覽器將執行版本檢查與自動更新。
2.點擊「重新啟動」完成更新。

二、請更新Microsoft Edge瀏覽器至112.0.1722.54(含)以上版本，更新方式如下：
1.開啟瀏覽器，於網址列輸入edge://settings/help，瀏覽器將執行版本檢查與自動更新。
2.點擊「重新啟動」完成更新。

三、請更新Brave瀏覽器至1.50.121(含)以上版本，更新方式如下：
1.開啟瀏覽器，於網址列輸入brave://settings/help，瀏覽器將執行版本檢查與自動更新。
2.點擊「重新啟動」完成更新。

四、請更新Vivaldi瀏覽器至6.0.2979.15(含)以上版本，更新方式如下：
1.開啟瀏覽器，點選左上方Vivaldi圖示開啟下拉式選單，點選 說明 檢查更新。
2.點擊「重新啟動」完成更新。

[參考資料:]
1. https://chromereleases.googleblog.com/2023/04/stable-channel-update-for-desktop_18.html?m=1
2. https://www.cybersecurity-help.cz/vdb/SB2023042011
3. https://www.ithome.com.tw/news/156486
4. https://learn.microsoft.com/en-us/DeployEdge/microsoft-edge-relnotes-security
5. https://brave.com/latest
6. https://vivaldi.com/blog/desktop/minor-update-6-0/

 

 

更多公告

【漏洞預警】微軟Outlook存在權限擴張之高風險安全漏洞(CVE-2023-23397)，允許遠端攻擊者取得受駭者身分鑑別雜湊值，進而執行偽冒身分攻擊，請儘速確認並進行更新或評估採取緩解措施！

2023/04/11

【漏洞預警】微軟Outlook存在權限擴張之高風險安全漏洞(CVE-2023-23397)，允許遠端攻擊者取得受駭者身分鑑別雜湊值，進而執行偽冒身分攻擊，請儘速確認並進行更新或評估採取緩解措施！

[內容說明:]
轉發 國家資安資訊分享與分析中心 NISAC-ANA-202304-0215

研究人員發現微軟Outlook存在權限擴張(Elevation of Privilege)之高風險安全漏洞(CVE-2023-23397)，遠端攻擊者可透過寄送附帶提醒的惡意郵件，當受駭者開啟Outlook並跳出提醒通知後，系統將於無任何互動指令之情況下，自動將Net-NTLMv2身分鑑別雜湊資訊傳送予攻擊者，攻擊者即可利用偽冒受駭者身分存取服務或破解雜湊值取得受駭者通行碼。

情資分享等級: WHITE(情資內容為可公開揭露之資訊)

[影響平台:]
● Microsoft 365 Apps for Enterprise for 32-bit Systems
● Microsoft 365 Apps for Enterprise for 64-bit Systems
● Microsoft Office 2019 for 32-bit editions
● Microsoft Office 2019 for 64-bit editions
● Microsoft Office LTSC 2021 for 32-bit editions
● Microsoft Office LTSC 2021 for 64-bit editions
● Microsoft Outlook 2013 RT Service Pack 1
● Microsoft Outlook 2013 Service Pack 1(32-bit editions)
● Microsoft Outlook 2013 Service Pack 1(64-bit editions)
● Microsoft Outlook 2016(32-bit edition)
● Microsoft Outlook 2016(64-bit edition)

[建議措施:]
目前微軟官方已針對弱點釋出修復版本，各機關可聯絡系統維護廠商進行修補，或參考以下連結取得修補程式：
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-23397

[參考資料:]
1. https://www.microsoft.com/en-us/security/blog/2023/03/24/guidance-for-investigating-attacks-using-cve-2023-23397/
2. https://www.ithome.com.tw/news/155952
3. https://www.xmcyber.com/blog/cve-2023-23397-outlook-vulnerability/
4. https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-23397
5. https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=10386


(此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎與我們連絡。
教育機構資安通報應變小組
網址：https://info.cert.tanet.edu.tw/
專線電話：07-5250211
網路電話：98400000
E-Mail：service@cert.tanet.edu.tw

【漏洞預警】全景軟體 MOTP行動動態密碼系 存在漏洞 (CVE-2023-22901)_0406 TWCERT-TWISAC-202304-0008

2023/04/11

【漏洞預警】全景軟體 MOTP行動動態密碼系 存在漏洞 (CVE-2023-22901)_0406 TWCERT-TWISAC-202304-0008[內容說明:


轉發 台灣電腦網路危機處理暨協調中心 TWCERTCC-ANA-202304-0004

全景軟體 MOTP之參數存在Path Traversal漏洞(CVE-2023-22901)，遠端攻擊者以管理者權限登入後，即可利用此漏洞繞過身分認證機制，讀取任意系統檔案。

情資分享等級: WHITE(情資內容為可公開揭露之資訊)

[影響平台:]
全景軟體 MOTP行動動態密碼系統 v3.11以前版本

[建議措施:]
聯繫全景軟體進行版本更新

[參考資料:]
https://www.twcert.org.tw/tw/cp-132-7022-2cbe0-1.html


(此通報僅在於告知相關資訊，並非為資安事件)，如果您對此通報的內容有疑問或有關於此事件的建議，歡迎與我們連絡。
教育機構資安通報應變小組
網址：https://info.cert.tanet.edu.tw/
專線電話：07-5250211
網路電話：98400000
E-Mail：service@cert.tanet.edu.tw

【資安訊息】請加強宣導接獲不當內容恐嚇勒索信件之處理

2023/04/25

【資安訊息】請加強宣導接獲不當內容恐嚇勒索信件之處理

【影響平台】

學校官網

【說明】

最近發現部分大專院校收到詐騙集團信件之事件，詐騙集團會使用大專院校官網上的教授照片，利用深偽技術(Deep Fake)，進行詐騙活動。透過製造假內容的信件，來恐嚇勒索受害者。建議學校加強宣導，提醒受害者收到類似恐嚇勒索信件時，告知該校資安人員及校安中心，並由校安中心進行通報。

情資分享等級: WHITE(情資內容為可公開揭露之資訊)

解決措施：

1.學校網站使用照片或使用者進行處理照片時，建議均應加上浮水印，避免盜用。
2.當接收到類似勒索信件時，不要馬上做出回應，先保持冷靜，並請通知學校資安人員及
校安中心，並由校安中心進行通報。
3.加強社交工程教育訓練，對教職員工生宣導勒索信件的認知及防範。
4.有關deepfake 的資訊素養的宣導資料，請參考本部目前中小學網路素養與認知網站提
供教師教學影片如下:
https://eteacher.edu.tw/Material.aspx?id=4022

 

 

111年度資安教育訓練課程

2022/08/22

本中心將於111年08月31日及111年09月16日舉辦『111年度暨南大學資安教育訓練課程』，邀請連線單位老師踴躍參加

    • 主辦單位：國立暨南國際大學、南投區域網路中心、國家高速網路與計算中心。
    • 協辦單位：南投縣教育網路中心。
    • 研習內容：Google帳號兩步驟驗證設定、表單權限及共用安全性設定、開源軟體ODF轉檔技巧。
    • 研習對象：暨南大學全體同仁、南投區網中心連線單位教師。
    • 研習時間：兩梯次課程內容相同
    • 第一梯次：111年08月31日（三）早上9點至12點
    • 第二梯次：111年09月16日（五）早上9點至12點
    • 線上會議網址：https://bbb.ncnu.edu.tw/b/cn4-ime-24n-7wh

    課程內容：111年08月31日（三）、09月16日（五）早上9點至12點

    時間

    課程內容

    課程形式

    08:50-09:00

    線上簽到

    線上課程

    09:00-12:00

    議題：
    Google帳號兩步驟驗證設定
    表單權限及共用安全性設定
    開源軟體ODF轉檔技巧
    主講人： 君邑資訊有限公司執行長 李燕秋

    聯絡電話：049-2910960＃4041 劉小姐