==== 资安双周报 (250215) ==== 初一十五除了呷菜喔外 也要关心一下安全圈的消息 - 你今天是否裸奔了? - 不要让你的手机裸奔 - Go 的 Supply Chain Attack - AI 版本的放大攻击 - GoDaddy 被要求改善? ## ======== 你今天是否裸奔了? ======== ## 根据报导[0] 有超过 3k 以上的 ASP.NET 专案 在公开专案或者程式码文件中 泄漏金钥导致攻击者可以直接使用 之後用来安装与散步 Godzilla ## ======== 不要让你的手机裸奔 ======== ## Android 安全性公告[1]表示 有若干安全性更新 其中最严重可能让攻击者不需具有额外执行权限 即可提升实体权限 ## ======== Go 的 Supply Chain Attack ======== ## 研究人员[2]公布 一种 Go 生态系的 supply chain attack 透过冒充攻击 BoltDB 套件 (malicious typosquat package) 植入一个可 RCE 的後门程式 当攻击者成功透过 Go Module Mirror 造成快取污染後 快取伺服器 (Proxy) 会持续提供受污染的版本 ## ======== AI 版本的放大攻击 ======== ## TWCertCC[3] 分享德国资安研究员的报告 发现 ChatGPT 存在一个 DDoS 攻击的可能性 透过向 ChatGTP 发起询问 可以将请求放大 20 ~ 5000 或更大的请求 造成 DDoS 的可能性 因为请求来自 ChatGTP 受害网站难以追踪攻击来源 ## ======== GoDaddy 被要求改善? ======== ## 来自网路文章[4] 分享 Hacker News 上的文章 GoDaddy 因为资安问题 而被 FTC 要求建立更安全的资安计画 [0]: https://www.ithome.com.tw/news/167281 [1]: https://source.android.com/docs/security/bulletin/2025-02-01?hl=zh-tw [2]: https://401.tw/fuDE [3]: https://www.twcert.org.tw/tw/cp-104-8412-5289c-1.html [4]: https://401.tw/PNc7 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 220.138.111.181 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/NetSecurity/M.1739572717.A.D00.html