公布日期：2023-12-29 發布單位： 資訊科  
這一星期又有零時差漏洞攻擊出現，特別的是，Google在發現的一日之後就發布Chrome的緊急修補，基本上，這個漏洞CVE-2023-7024是由於WebRTC中的堆積緩衝區溢位造成，而我們也注意到，微軟也在同日修補了Edge瀏覽器上的這項漏洞。由於此漏洞在外部已有遭成功利用的情形，加上WebRTC的影響範圍不小，因此用戶與採用WebRTC的業者都要儘速因應。

還有兩個網路設備漏洞，包括：臺廠威聯通（QNAP）網路影像錄影系統VioStor 4.0的漏洞CVE-2023-47565，以及日廠FXC的AE1021/AE1021PE路由器漏洞。這是因為Amakai在11月21日曾透露在近期發現殭屍網路InfectedSlurs的攻擊行動，是利用NVR與路由器的零時差漏洞來散布，到了12月6日與14日終於有了答案，受害裝置包括日本FXC與臺廠威聯通。特別的是，威聯通其實早在2014年就已釋出5.0版修補此一漏洞問題，FXC的路由器則是在12月6日釋出新版修補，本星期的資安日報並未提及，在此補上。

另一方面，零時差漏洞修補很重要，但也不應該看到黑影就開槍，需認清消息來源與查證。最近就有這樣的例子，以色列國家網路管理局（INCD）就提出警告，有人假冒F5的名義，以cert@f5[.]support寄送零時差漏洞修補通知的釣魚信，但該寄件者網域就只是取類似名稱的混淆手法，企圖引誘不察的使用者上當，以散布資料破壞程式。

在最新威脅態勢方面，關於進入遠端伺服器通常仰賴的SSH連線加密機制，最近有資料傳輸安全問題要注意，有研究團隊揭露針對SSH協定的Terrapin攻擊手法，並指出SSH協定中的3個漏洞（CVE-2023-48795、CVE-2023-46445與CVE-2023-46446），說明遠端攻擊者將得以繞過完整性檢查。

新聞出處：iThome