根據一篇報導，知名的影像處理軟體 ImageMagick 被發現有個可能讓網站暴露於攻擊風險的漏洞。這項資安漏洞可能讓受感染的影像騙過網站伺服器而執行可蒐集資料或窺探使用者帳號的惡意程式碼。此漏洞將影響那些使用 ImageMagick 軟體以及那些允許使用者上傳影像的網站服務。
ImageMagick 是一專門來建立、編輯、合成及轉換影像的套裝軟體，一些社群媒體平台、部落格網站以及內容管理系統，都使用這套軟體來縮放或調整使用者上傳的影像。
ImageMagick 在一份聲明當中回應了這項報導：「我們最近接獲一些程式設計師通報的漏洞，這些漏洞可能讓駭客從遠端執行程式碼，或者在本地端電腦上產生檔案。」
此漏洞是由資安研究人員 Stewie 以及資安工程師 Nikolay Ermishkin 所共同發現。根據資安專家表示，雖然這項安全漏洞目前並無進一步的資訊，不過卻令人擔憂，因為在沒有修補程式可以降低損害的狀況下，該漏洞的細節已經廣為流傳。由於漏洞資訊已經曝光，資安專家也必須開始跟駭客展開賽跑，才能保障全球伺服器的安全，避免遭到駭客入侵。 繼續閱讀
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
【壹週刊】國際駭客殺入台灣 變臉詐騙鎖定名人 台灣蘋果日報網
駭客盯上 任賢齊上億財產險飛了 台灣時報
iPhone 被破解的秘密曝光？FBI 疑似找「灰帽駭客」代勞！ 自由時報電子報
[專訪] 趨勢安全專家Kyle Wilhoit：企業以暴制暴解決數位犯罪恐成趨勢 網路資訊雜誌
詐騙手法 兩岸大不同 台以ATM解除分期付款居首 陸多為假冒公務機關 台灣時報
兩岸詐騙黑色供應鏈 產值4千億 網路駭客補習班、月付500個資吃到飽 產業應運而生 旺報
美中協議後 駭客襲美收斂 聯合新聞網
美擬立法 強制科技業協助解碼 人間福報網
ICJI總監：洩密者身分若曝光 性命堪慮 中時電子報網
趨勢科技實習開跑 徵召資安新秀 聯合新聞網
巴拿馬警方突襲洩密律師事務所 中國廣播公司全球資訊網
信用卡盜刷風險 專家教你這樣避免 中央社即時新聞網
網路商城用戶多 成駭客竊個資目標 tvbs新聞網
不想被駭！FBI局長教你這樣做 中時電子報網
蘋果iOS現漏洞！駭客設假wifi 產品連上將死機 中時電子報網
Flash曝嚴重安全漏洞 影響全球10多億用戶 新浪網(科技)
張明正看AlphaGo：台灣得趕上人工智慧潮流，這比鴻海買夏普還重要100倍！ 關鍵評論網
鉅款闖關不單純！變臉詐騙鎖定名人、CEO 傳首富險受害 iSET 2011三立網站 繼續閱讀
就在趨勢科技 Zero Day Initiative 零時差漏洞懸賞機構發現了兩個新的 QuickTime for Windows 漏洞不久之後，Apple 即宣布即將終止對該軟體的支援。
這兩個漏洞可能讓駭客從遠端執行程式碼，進而掌控受害的電腦。若發生在企業環境內部，這等於是敞開大門讓駭客進入全公司網路。
根據趨勢科技全球威脅通訊經理 Christopher Budd 表示，目前尚未看到有任何攻擊已利用這些漏洞，但問題是，這兩個漏洞永遠也沒有機會修補。
Budd 表示：「繼 Microsoft Windows XP 和 Oracle Java 6 之後，QuickTime for Windows 軟體現在也加了支援終止的行列，因此未來不會再釋出更新來修補漏洞。所以，其資安風險將隨著被發現的漏洞數量而不斷升高。最終辦法還是只有依照 Apple 建議將 QuickTime for Windows 解除安裝一途。」
呼籲大家最好遵照 Apple 的建議盡快將 QuickTime for Windows 軟體解除安裝。
原因有二： 繼續閱讀
如果你去過機場、校園、醫院及政府等出入複雜的地方或辦公大樓，你可能看過HID這牌子的讀卡機出現在門禁區前。HID是世界上最大的門禁控制系統製造商之一，成為許多大型企業實體安全的一部分。這些讀卡機會連結背後的門禁控制器，這設備可以控制門禁相關功能，包括上鎖和開鎖、排程和發出警報等。
近年來，這些門禁控制器也會提供網路遠端管理。可以更加方便地更新門禁卡資料庫和進行排程工作，但就跟其他連網事物一樣，也會面臨遠端漏洞攻擊的風險。而對實體安全來說，這風險比其他都更加真實。
HID的兩大門禁控制器產品線是VertX和Edge平台。為了讓這些控制器可以更加容易整合到現行的存取控制建置，它們提供一個discoveryd服務來回應特定UDP封包。遠端管理系統可以對端口4070進行廣播，網路上所有的門禁控制器都會加以回應，並提供MAC地址、設備類型、韌體版本、甚至包括名稱（如「外北門」）等資訊。這是該服務的用途。但這並非該服務的唯一功能。出於某種原因，discoveryd還可以變更控制器上LED燈的閃爍模式。這是透過發送「command_blink_on」封包給discoveryd服務並加上LED燈的閃爍次數。Discoveryd服務會接著建立/mnt/apps/bin/blink，並呼叫system()以上述數字做為參數來執行閃爍程式。
你可能已經猜到接下來會發生什麼事。
此功能存在一個指令注入漏洞，因為缺少對使用者所提供輸入給system()的檢查過濾。如果我們並非發送LED閃爍次數，而是用反引號包住的Linux指令，如`id`，它就會被設備上的Linux shell所執行。更糟的是，discoveryd服務是以root身份執行，所以我們所送出的任何指令也都將以root執行，讓我們能夠有效地完全控制該設備。因為這裡所討論的是門禁控制器，完全控制也包括所有的警報和上鎖功能。這代表只要一些簡單的UDP封包而無須任何身份驗證，就可以永久解鎖連到控制器上的每一扇門。而且也可以想辦法讓遠端管理系統再也無法重新上鎖。最重要的是，由於discoveryd服務會回應廣播的UDP封包，你可以在同一時間對網路上的每一道門這樣做！
不用說，這是個具有潛在摧毀性後果的錯誤。零時差計畫（ZDI）團隊與HID合作來進行修復，現在據報在HID的合作夥伴網站已經可以取得修補程式，但我尚未能親自驗證此修復程式。而且也必須觀察修補程式需要花多久時間佈署到客戶環境。在修補程式提供前，TippingPoint客戶自2015年9月22日開始就可以透過數位疫苗編號20820來取得保護。
＠原文出處：Let Me Get That Door for You: Remote Root Vulnerability in HID Door Controllers作者：Rick Lawshae
繼 2016 年 4 月 5 日發出 安全公告 之後，Adobe 隨即釋出了一份緊急更新來修補一個 Adobe Flash Player 漏洞 ：CVE-2016-1019。趨勢科技已觀察到一些專門利用 Magnitude 漏洞攻擊套件的零時差攻擊，受影響的使用者包括 Flash 20.0.0.306 版以及更早版本的使用者。不過，這一波攻擊並不影響 Flash 21.0.0.182 及 21.0.0.197 版的使用者，因為 Adobe 已在 21.0.0.182 版當中導入了 Heap 記憶體保護機制，而 21.0.0.197 版理所當然承襲了這項功能。這兩個版本的使用者在遇到這項漏洞攻擊時只會發生 Adobe Flash 當掉的情況。
我們強烈建議所有使用者立即安裝最新的安全更新，因為目前這一波漏洞攻擊正在網路上流行。趨勢科技在 安全更新釋出之前，即發現上述漏洞攻擊套件收錄了這項漏洞，並且會讓電腦感染勒索軟體。
根據我們的分析，CVE-2016-1019 是一種所謂的「類型混淆漏洞」，該漏洞會影響 Flash 20.0.0.306 以及更早的版本。不過在遇到 Flash 21.0.0.182 及 21.0.0.197 版本時，僅會造成 Flash 當掉。Adobe 從 21.0.0.182 版本開始便加入了 Heap 記憶體保護措施。
圖 1：散布 Magnitude 漏洞攻擊套件的惡意網域。
早在 2016 年 3 月 31 日，趨勢科技即經由我們 Smart Protection Network™ 的回報發現一項使用 Magnitude 漏洞攻擊套件 的零時差攻擊已經收錄了這項漏洞。這項攻擊會讓系統感染 Locky勒索軟體，這是一種將惡意程式碼暗藏在文件巨集當中的加密勒索軟體。根據報導，此惡意程式曾攻擊美國肯德基州一家基督教衛理公會醫院 (Methodist Hospital) 的電腦系統。
圖 2：Magnitude 漏洞攻擊套件全球流量分布,台灣排名第ㄧ(2016 年 3 月 31 日至 4 月 6 日)。 繼續閱讀