資安新聞及事件週報 2016/11/21 ~ 2016/11/25

1.重大弱點漏洞:
Wireshark DTN解析器拒絕服務漏洞(CVE-2016-9375)
https://www.wireshark.org/security/wnpa-sec-2016-62.html

Cisco AsyncOS遠程安全限制繞過漏洞(CVE-2016-6458)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161102-esa

Norton 及 Symantec 企業版產品遠端執行程式碼漏洞 CVE-2016-5311
https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&year=&suid=20161117_00

VMware 產品遠端執行程式碼漏洞 CVE-2016-7461
https://www.us-cert.gov/ncas/current-activity/2016/11/14/VMWare-Releases-Security-Updates

思科產品多個漏洞
https://www.auscert.org.au/render.html?it=41102
https://www.auscert.org.au/render.html?it=41118

網絡時間服務 (ntpd) 多個漏洞
https://www.us-cert.gov/ncas/current-activity/2016/11/21/Vulnerabilities-Identified-Network-Time-Protocol-Daemon-ntpd

Apache Tomcat 多個漏洞
https://www.auscert.org.au/render.html?it=41226

F5 BIG-IP BIND Vulnerability (SOL18829561)
http://www.0daybank.org/?p=3403

Cisco ASA 漏洞(CVE-2016-6461)
https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20161116-asa

Palo Alto Networks PAN-OS 緩衝區溢出安全漏洞(CVE-2016-9150)
https://securityadvisories.paloaltonetworks.com/Home/Detail/68

Apache Tika 遠程代碼執行漏洞(CVE-2016-6809)
http://www.securityfocus.com/bid/94247

Geovision IP Camera設備弱密碼漏洞
https://github.com/rapid7/IoTSeeker/blob/master/devices.cfg

WordPress自動更新服務器存在漏洞,允許任何人向全球各網站中添加任意代碼
https://www.easyaq.com/newsdetail/id/1379024767.shtml

CA發佈Unified Infrastructure Management安全更新,該漏洞會導致目錄遍歷
https://ics-cert.us-cert.gov/advisories/ICSA-16-315-01

Debian Security Update for gst-plugins (DSA 3713-1)
http://www.0daybank.org/?p=3380

SAP NetWeaver AS JAVA 拒絕服務漏洞(CVE-2016-9562)
https://erpscan.com/advisories/erpscan-16-033-sap-netweaver-java-icman-dos-vulnerability/

Akamai發現攻擊者濫用OpenSSH漏洞新方式
http://www.digitimes.com.tw/tw/dt/n/shwnws.asp?id=0000486700_XT66BX2W133B21L5QA6IE&ct=1

Windows下兩個神奇漏洞,不信自己去試試
https://kknews.cc/tech/anl9ooj.html

從Windows95到Win10潛伏了20年的漏洞Bug
http://www.phpstudy.net/b.php/79374.html

CVE-2015-8325Amazon Linux Security Advisory for openssh: ALAS-2016-770
http://www.0daybank.org/?p=3324

CVE-2015-0487 Oracle PeopleSoft Enterprise PeopleTools Product Multiple Vulnerabilites (CPUAPR2015)
http://www.0daybank.org/?p=3335

CVE-2016-6304 Red Hat Update for openssl (RHSA-2016:2802)
http://www.0daybank.org/?p=3359

CVE-2016-5199 Google Chrome Prior to 54.0.2840.99 Multiple Vulnerabilities
http://www.0daybank.org/?p=3341

CVE-2015-7541 Ruby colorscore Gem histogram.rb Command Injection Vulnerabilities
http://www.0daybank.org/?p=3337

CVE-2015-3456 Oracle PeopleSoft Enterprise PeopleTools Product Multiple Vulnerabilites (CPUJUL2015)
http://www.0daybank.org/?p=3343

Windows 0day漏洞黑客通過字體文件控制用戶電腦
http://m.sohu.com/n/471265878/?wscrid=95360_3

攻擊者利用inpage 0day漏洞針對亞洲攻擊
http://www.mottoin.com/92653.html

關於“魅魔”漏洞情況的通報
http://www.qingpingshan.com/pc/aq/169011.html

2.銀行資安:
偽卡盜領板橋合庫 被吞13張卡露餡 外籍車手栽了
http://www.chinatimes.com/newspapers/20161119000575-260106

遠端多台 ATM 吐鈔大解密,駭客從個人轉向攻擊銀行盜取金錢
http://technews.tw/2016/11/23/remote-access-atm-for-cash-hacker-hack-bank-for-more-money/

歐洲10多國傳ATM遭駭吐鈔 疑為同一集團所為
http://news.ltn.com.tw/news/world/breakingnews/1895331

駭客攻擊歐洲多國提款機 用惡毒軟體迫使吐現金
http://big5.huaxia.com/xw/gjxw/2016/11/5089909.html

俄資安公司:歐洲12國發生駭ATM盜領
http://udn.com/news/story/6812/2121229

3.資安事件新聞:
A.病毒木馬:
既有防線視加密動作為正常 缺乏異地備份及警覺心 輕忽資安又遇企業化駭客 勒索病毒亂象其來有自
http://www.netadmin.com.tw/article_content.aspx?sn=1611090004

這次更危險!臉書釣魚影片又來了,假冒好友私訊騙你植入勒索軟體Locky
http://www.ithome.com.tw/news/109738

收到未取貨通知 小心暗藏電腦病毒 不明連結檔案不要點
http://www.nownews.com/n/2016/11/25/2318113

B.行動安全:
ios10再曝大漏洞,未解鎖也可以瀏覽相冊
http://www.twoeggz.com/news/2482473.html

駭客威武 不到60秒拿下谷歌Pixel手機
http://www.nownews.com/n/2016/11/26/2305597

什麼!7億安卓裝置受監控 個資通通流回中國
http://blog.trendmicro.com.tw/?p=35794

反查號碼APP曝光30億個資 連香港特首手機也能追蹤!
http://blog.trendmicro.com.tw/?p=36464

Google「數碼死刑」 封轉售Pixel戶
http://paper.wenweipo.com/2016/11/19/GJ1611190013.htm

來電攔截Apps 洩露30億人私隱
https://www.hkcert.org/my_url/zh/blog/16112301

以色列奇兵秒破解手機 簡訊行蹤全洩
http://udn.com/news/story/5/2125250

中國銳嘉科的Android韌體遭爆有中間人攻擊漏洞,280萬裝置安全警報響起
http://www.ithome.com.tw/news/109741

銳嘉科韌體有漏 影響280萬台Android裝置
http://www.epochtimes.com.tw/n190478/%E9%8A%B3%E5%98%89%E7%A7%91%E9%9F%8C%E9%AB%94%E6%9C%89%E6%BC%8F-%E5%BD%B1%E9%9F%BF280%E8%90%AC%E5%8F%B0Android%E8%A3%9D%E7%BD%AE.html

又是「中國出品」漏洞?300 萬台 Android 手機中招
http://3c.ltn.com.tw/news/27427

怕個資上傳到中國?NCC 建議 2 步驟確保 Android 手機安全
http://3c.ltn.com.tw/news/27474

低階Android手機藏中國資安漏洞?NCC籲請民眾升級軟體
http://life.ettoday.net/article/815718.htm

iOS漏洞?千萬不要拿來惡作劇
https://www.mobile01.com/topicdetail.php?f=383&t=4992705

如果你有加入這些著名臉書Group請立刻退群!因為它們都被駭客佔領了!!不然你的Facebook賬號就會有危險
https://www.novelfeed.com/article/s09kebq7/%E6%89%80%E6%9C%89%E9%A6%AC%E4%BE%86%E8%A5%BF%E4%BA%9E%E4%BA%BA%E6%B3%A8%E6%84%8F%E5%A6%82%E6%9E%9C%E4%BD%A0%E6%9C%89%E5%8A%A0%E5%85%A5%E9%80%99%E4%BA%9B%E8%91%97%E5%90%8D%E8%87%89

iOS 又爆新漏洞,播放特定影片導致自動關機
http://technews.tw/2016/11/23/ios-new-film-bug/

HTC 10安全性漏洞測試
https://community.htc.com/tw/chat.php?mod=viewthread&tid=67958

這家公司曾破解15000支手機 據說包括iPhone
http://udn.com/news/story/5/2124138

小心中毒!Whatsapp推視訊功能 用戶恐遭駭客入侵 生活
http://www.buzzbooklet.com/card/780865/%E5%B0%8F%E5%BF%83%E4%B8%AD%E6%AF%92%EF%BC%81Whatsapp%E6%8E%A8%E8%A6%96%E8%A8%8A%E5%8A%9F%E8%83%BD%E3%80%80%E7%94%A8%E6%88%B6%E6%81%90%E9%81%AD%E9%A7%AD%E5%AE%A2%E5%85%A5%E4%BE%B5++%E7%94%9F%E6%B4%BB

手機不設防?同意條款洩漏這些個資
http://www.cna.com.tw/news/afe/201611200123-1.aspx

資安調查:iOS App 當機率是 Android 的 2.5 倍
http://ccc.technews.tw/2016/11/21/ios-fail-rate/

C.事件:
GitHub信息洩露,Linux爆漏洞,Chrome成黑客取款機,謝各位黑客不殺之恩
https://my.oschina.net/u/2894582/blog/790620

部分網路設備存在對於網路控制訊息協定(ICMP)封包處理之弱點,使得攻擊者可藉由持續傳送「無法到達目的地且無法存取傳輸埠」的ICMP封包,造成網路設備癱瘓,進而導致服務中斷
http://www.nccst.nat.gov.tw/VulnerabilityDetail?lang=zh&seq=1047

臉書虛假新聞無處逃 四學生找到打擊方法
http://www.epochtimes.com/b5/16/11/18/n8506811.htm

外媒:駭客闖入英國移動運營商600萬用戶數據庫
http://big5.eastday.com:82/gate/big5/news.eastday.com/eastday/13news/auto/news/world/20161118/u7ai6216992.html

推特遭駭 主流外媒名人都受害
http://www.chinatimes.com/realtimenews/20161119002237-260408

Akamai公布第三季全球資安報告,DDoS攻擊次數較去年同期增長 71%
http://www.ithome.com.tw/news/109727

公家機關也有假的?小心假的政府採購案
http://blog.trendmicro.com.tw/?p=36424

慎入!學校、旅行社網站遭駭 宣傳「虐貓行動」伴隨慘叫聲
http://www.setn.com/News.aspx?NewsID=200696

駭客透過USB裝置,1分鐘就能竊取MacBook使用者的網路資料
http://www.ithome.com.tw/news/109705

五個網路 NG 行為,最容易幫詐騙集團爭取年終獎金
http://blog.trendmicro.com.tw/?p=24502

硬是要學科技新知:耳機不想拔? 當心這個漏洞讓耳機成為有監聽工具
https://tw.news.yahoo.com/%E7%A1%AC%E6%98%AF%E8%A6%81%E5%AD%B8%E7%A7%91%E6%8A%80%E6%96%B0%E7%9F%A5-%E8%80%B3%E6%A9%9F%E4%B8%8D%E6%83%B3%E6%8B%94-%E7%95%B6%E5%BF%83%E9%80%99%E5%80%8B%E6%BC%8F%E6%B4%9E%E8%AE%93%E8%80%B3%E6%A9%9F%E6%88%90%E7%82%BA%E6%9C%89%E7%9B%A3%E8%81%BD%E5%B7%A5%E5%85%B7-105851658.html

全球最大駭客組織「匿名者」宣布對川普全面開戰 (中英字幕)
http://www.simplemarket.info/demo/bsyoutubeapipro/video/VkiOO7lX91c/-.html

多家媒體、大學教授接獲Google警告,遭國家支持的駭客鎖定竊取密碼
http://www.ithome.com.tw/news/109816

Google資安工程師:防毒軟體已經不管用了
https://cnews.com.tw/google%E8%B3%87%E5%AE%89%E5%B7%A5%E7%A8%8B%E5%B8%AB%E9%98%B2%E6%AF%92%E8%BB%9F%E9%AB%94%E5%B7%B2%E7%B6%93%E4%B8%8D%E7%AE%A1%E7%94%A8%E4%BA%86/

加拿大招兵網被黑 訪客被導向中國官網
http://www.voacantonese.com/a/canada-army-hack-20161118/3603566.html

微軟明年2月終止Microsoft Edge及IE對SHA-1的支援
http://www.ithome.com.tw/news/109775

揭秘:世界駭客大賽為何會上演“中韓爭霸”
http://big5.eastday.com:82/gate/big5/news.eastday.com/eastday/13news/auto/news/china/20161119/u7ai6218664.html

第 3 季網路資安報告出爐!媒體成為網路攻擊重點
http://www.buzzbooklet.com/card/779818/%E7%AC%AC+3+%E5%AD%A3%E7%B6%B2%E8%B7%AF%E8%B3%87%E5%AE%89%E5%A0%B1%E5%91%8A%E5%87%BA%E7%88%90%EF%BC%81%E5%AA%92%E9%AB%94%E6%88%90%E7%82%BA%E7%B6%B2%E8%B7%AF%E6%94%BB%E6%93%8A%E9%87%8D%E9%BB%9E%EF%BC%9F++%E8%87%AA%E7%94%B1%E9%9B%BB%E5%AD%90%E5%A0%B1+3C%E7%A7%91%E6%8A%80

東京直擊由資安一線人員設計的駭客大賽!趨勢科技 CTF 2016,台灣「217」抱得冠軍
http://technews.tw/2016/11/21/trend-micro-ctf-2016-result/

駭客可將PC音訊輸出改為輸入,用耳機竊聽使用者對話
http://www.ithome.com.tw/news/109780

小心!全球過半音效卡出包 駭客恐透過耳機監聽你的生活
http://www.setn.com/News.aspx?NewsID=201484

美國防部發表數位漏洞揭露政策,擴大抓漏獎勵計畫
http://www.ithome.com.tw/news/109763

防共諜滲透 核電廠、電信機房等設施擬增設「保防員」
http://www.storm.mg/article/191657

對抗網絡襲擊
http://www.orientaldaily.com.my/lifestyle/sh20161472

FBI 為了抓兒童色情犯罪,駭遍 120 國超過 8 千臺電腦,甚至衛星也不放過
http://technews.tw/2016/11/24/fbi-hacked-over-120-countries-for-child-porn-crime-even-the-satellite/

FBI 經營了一個兒童色情網站,還放出惡意軟體、駭遍了全球120個國家逾8000台電腦
http://www.techbang.com/posts/47686-to-find-child-pornography-web-site-fbi-terrible-in-120-countries-around-the-world-more-than-8000-computers

網絡安全威脅超跨張!2017 年資安事件 5 大預言
http://www.hkitblog.com/?p=37273

Mozilla hackers audit cURL file transfer toolkit, give it a tick for security
http://www.theregister.co.uk/2016/11/25/mozilla_hackers_give_curl_security_audit_tick/

D.資料外洩:
俄媒:駭客或竊取逾13.4萬名美海軍官兵個人資訊
http://big5.cri.cn/gate/big5/news.cri.cn/20161124/fe19a63a-21a7-6b13-6361-ec821c2dc60e.html

HPE員工遭駭,拖累美國海軍逾13萬筆官兵個資外洩
http://times.hinet.net/news/19666897

E.研究報告:
Chrome 不當使用Flash message loop 導致的UXSS 漏洞(CVE-2016-1631)
https://www.seebug.org/vuldb/ssvid-92545

360MarvelTeam雲系統漏洞第六彈:CVE-2016-8632分析
http://www.qingpingshan.com/pc/aq/167468.html

Nginx權限提升漏洞(CVE-2016-1247) 分析
http://blog.knownsec.com/2016/11/nginx-exploit-deb-root-privesc-cve-2016-1247/

Struts Convention插件漏洞(CVE-2016-6795)分析
http://www.freebuf.com/vuls/120451.html

WordPress自動更新機制的嚴重漏洞:全球超1/4網站可被黑客一舉擊潰
http://www.freebuf.com/articles/web/121018.html

【技术分享】Fuzzing Android:挖掘Android系统组件组件中的漏洞
http://bobao.360.cn/learning/detail/3213.html

PUTTY PSCP远程代码执行漏洞(CVE-2016-2563)
http://whereisk0shl.top/post/2016-11-23

【技術分享】一個針對TP-Link調試協議(TDDP)漏洞挖掘的故事
http://bobao.360.cn/learning/detail/3221.html

Zigbee 安全與IoT 設備漏洞利用
http://www.mottoin.com/92660.html

F.商業:
【東京直擊】趨勢科技 Direction 大會神秘的「X」產品,放眼 2020 年
http://technews.tw/2016/11/19/trend-micro-direction-2016-key-note-by-eva-chen/

Check Point 發布 2017 年網路安全預測
http://technews.tw/2016/11/23/check-point-2017-network-security/

強化個資保護 賽門鐵克斥23億美元收購LifeLock
http://m.cnyes.com/news/id/3623187

賽門鐵克SEP 14 端點防護大躍進
http://www.chinatimes.com/newspapers/20161125000155-260204

Nexusguard DDoS調查結果顯示 切換至物聯網僵屍網路令亞太地區企業離線
http://www.netadmin.com.tw/article_content.aspx?sn=1611170014

企業遇駭客攻擊怎麼解?賽門鐵克用機器學習防堵資安威脅|數位時代
https://fbwall.amassly.com/post/j5d9gLIKEk/

抓弊高手/神祕小黑盒 讓弊案現形
http://udn.com/news/story/7243/2125880

G.政府:
國軍砸23億 造數位化部隊
http://www.appledaily.com.tw/appledaily/article/headline/20161121/37458874/

國內手機系統軟體安全檢測規範出爐,明年中可望上路
http://www.ithome.com.tw/news/109778

手機出廠就內建後門?NCC通過「智慧型手機系統內建軟體資通安全檢測技術規範」草案
http://aplayground.com/app/?p=102194

【最新公布】資通安全管理法草案全文(2016年10月13日版)
http://www.ithome.com.tw/news/109828

政府籲做好網絡安全防駭客
http://news.takungpao.com.hk/paper/q/2016/1126/3396089.html

H.近期惡意郵件Title:
Purchase Order Ref.161116Z
管控关键人才的常规套路
Re: Editing remittance form (11/10/2016 )
Re: New Order Listing
Apresentação da Seleção Caminhos 2016

I.教育訓練類:
[解析] 駭客訓練基地game1解析與詳述(上)
https://blog.camel2243.com/2016/08/06/%E8%A7%A3%E6%9E%90-%E9%A7%AD%E5%AE%A2%E8%A8%93%E7%B7%B4%E5%9F%BA%E5%9C%B0game1%E8%A7%A3%E6%9E%90%E8%88%87%E8%A9%B3%E8%BF%B0%E4%B8%8A/

[解析] 駭客訓練基地game1解析與詳述(下)
https://blog.camel2243.com/2016/11/20/%E8%A7%A3%E6%9E%90-%E9%A7%AD%E5%AE%A2%E8%A8%93%E7%B7%B4%E5%9F%BA%E5%9C%B0game1%E8%A7%A3%E6%9E%90%E8%88%87%E8%A9%B3%E8%BF%B0%E4%B8%8B/

可程式的程式語言
http://www.ithome.com.tw/voice/109427

J.玄武實驗室每日安全動態推送
2016年11月21日每日安全動態推送(11-21)
http://www.weidu8.net/wx/1005147969857560

2016年11月22日每日安全動態推送(11-22)
http://www.weidu8.net/wx/1002147978650198

2016年11月23日每日安全動態推送(11-23)
http://www.weidu8.net/wx/1002147987004198

2016年11月24日每日安全動態推送(11-24)
http://www.weidu8.net/wx/1008147995398459

K.物聯網
Microchip推出業內功耗最低的汽車門禁解決方案
http://www.digitalwall.com/scripts/displaypr.asp?UID=64692

【專訪】物物聯網資安風險升高,解析趨勢科技層層布建的 IOT 防護架構
http://technews.tw/2016/11/25/interviw-iot-security-solution-by-trend-micro/

特斯拉專屬 App 爆漏洞,可能被駭客利用盜走愛車
https://www.inside.com.tw/2016/11/25/hackers-show-how-to-steal-a-tesla-with-a-hack

L.其他:
破除危害融合的網路訛傳 印尼舉辦另類駭客馬拉松
http://www.ct.org.tw/1297848

4.近期資安活動及研討會

台灣駭客年會 HITCON 2016 Training 2016/11/27(日) 09:00 ~ 2016/11/30(水) 18:00
http://hitcon.kktix.cc/events/hitcon-training-2016

雲端攻防平台資安實戰課程101已經開放報名 2016/11/29(二) 09:00 ~ 12:00
http://nchc-cdx.kktix.cc/events/nchu

資安人研討會 洞悉資安法規,落實資安技術 2016年12月8日 (四) 09:00~17:00
http://www.informationsecurity.com.tw/article/article_detail.aspx?tv=24&aid=8359

DevOps Workshop系列 11/27、12/03
http://learning.ithome.com.tw/page/DevOps_Workshop

Big Data Innovation Summit - 不容錯過的大數據黃金十年 12/05(一)~12/06(二) 09:00~17:00
http://bigdataconf.ithome.com.tw/

迎接金融新時代研討會 2016年12月14日(三) 09:00-16:30
http://seminar.ithome.com.tw/live/161214ebank/index.html

vFORUM 2016 2016年12月8日(四)
http://learn.vmware.com/APAC_TW_vFORUM_Register?mid=5795&eid=CVMW2000006587383&src=of_57f352507322a&cid=70134000001Adkf&elqTrackId=0ad24e8399ad4550880af1e5597ab49d&elq=4fdf63830635481fb221751781c8bd87&elqaid=5795&elqat=1&elqCampaignId=2433

華梵大學資訊管理學系資安學程-2017資訊安全管理系統系列課程 2017/01/16~2017/01/20 2017/01/21~2017/01/25
http://mis.hfu.edu.tw/news/news.php?Sn=829

迎接金融新時代研討會 2016 / 12 / 14 (三) 9:00-16:30
http://seminar.ithome.com.tw/live/161214ebank/index.html

The Dungeons of Hackers Conference 2016 - 駭客的地下城 2016年12月17日 09:00 ~ 16:00
http://tdohackerparty.kktix.cc/events/tdoh-conf-2016

資管系企業導師請益-大數據分析應用 - 社群資安訊息分析 2016/11/28 19:20:00 ~ 2016/11/28 21:10:00
http://excellent.tku.edu.tw/ExcNewsDtl.aspx?nid=5212AD2A762946A3

Big Data Innovation Summit - 不容錯過的大數據黃金十年 12/05(一)~12/06(二) 09:00~17:00
http://bigdataconf.ithome.com.tw/

Windows 10 資安部署系列課程 2016 年12月8日,下午2點30分至下午5點30分
https://blogs.windows.com/taiwan/2016/11/08/windows-10-2016securitycourse/

Red Hat Forum紅帽年度盛會台北站,邀請您一同探索參與的力量 2016 年 12 月 15 日 (四)
http://seminar.ithome.com.tw/live/RHF/index.html?Media=ithomeedm

The Dungeons of Hackers Conference 2016 - 駭客的地下城 2016/12/17(六) 09:00 ~ 16:00
http://tdohackerparty.kktix.cc/events/tdoh-conf-2016

2017 InfoSec Conference Taiwan 2017 Mar 14 - Mar 15
http://infosec.ithome.com.tw/index_en.html

Chef 自動化組態管理實戰講堂 2016/12/03 09:30 ~ 16:30
http://learning.ithome.com.tw/course/U2VcRfPGL7dEEcp

Big Data Innovation Summit - 不容錯過的大數據黃金十年 12/05(一)~12/06(二) 09:00~17:00
http://bigdataconf.ithome.com.tw/

台灣駭客年會 HITCON 2016 Pacific 2016/12/01(木) 09:00 ~ 2016/12/02(金) 18:00
http://hitcon.kktix.cc/events/hitcon-pacific-2016