==== 资安双周报 (240415) ==== 初一十五除了呷菜喔外 也要关心一下安全圈的消息 - Rust 得十分 - 财报/重讯 - 你以为只有 创意私房 吗 - 当诈骗也需要有点资安概念 - 你以为你懂 UUID - EOL 就是 End-of-Life ## Rust 得十分！ 最近又有一个热门的 CVSS 10.0 的安全性问题[0] 本次受害者是 Windows 环境的 Rust 处理指令时可能执行任意 Shell (CVE-2024-24576) ## 财报/重讯 这两个礼拜出现两个公司发表重讯 分别是 - 04/02 无毒的家 (3205 佰研) 公告 会员系统发生资料外泄事件[1] - 04/11 联合再生 (3576 联合再生) 侦测部分系统遭到网路攻击 造成工厂暂时停工[2] ## 你以为只有 创意私房 吗 根据 X 上面的消息 [3] wordpress.com 直接被警政署(?) 认定为诈骗网域 导致有一段时间无法正常使用 但... 你知/我知/独眼龙也知 要怎样解决这种问题 ## 当诈骗也需要有点资安概念 来自网路 (DCard) 上的热情守护者[4] 发现一个诈骗网站包含的 AWS access key 懂的人应该知道 拥有 access key 其实可以做很多事情 (尤其还是 root) 虽然诈骗不值得支持 但还是需要赞赏一下密码使用了 bcrypt ## 你以为你懂 UUID 你以为你懂 UUID 但是你知道 UUID 有很多版本吗[5] 如果你无脑使用 UUID 就像使用了一个很 random 的 Math.rand ## EOL 就是 End-of-Life 最後 也是最令人兴奋的消息 目前网路上存在大量 (约 92k 台) 的 D-Link NAS 存在一个 RCE 问题 (CVE-2024-3273) 官方已经宣称[6] 受影响的产品已经 EOL (End-of-Life) 并且相关产品应退役与替换 请各位认真看待 EOL 的产品 [0]: https://nvd.nist.gov/vuln/detail/CVE-2024-24576 [1]: https://www.ithome.com.tw/news/162199 [2]: https://www.ctee.com.tw/news/20240411700810-430503 [3]: https://twitter.com/KHeresy/status/1778025526097322037 [4]: https://www.dcard.tw/f/talk/p/255196893?cid=5698BF21-15AE-44FA-917D-62C770FC80D4 [5]: https://pbs.twimg.com/media/GKm1AgpaYAAxRia?format=jpg&name=medium [6]: https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10383 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 111.250.54.11 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/NetSecurity/M.1713180780.A.6A5.html ※ 编辑: CMJ0121 (111.250.54.11 台湾), 04/15/2024 19:35:57 ※ 编辑: CMJ0121 (59.124.225.43 台湾), 04/16/2024 11:57:26