今天许多厂商发布11月份例行更新，微软、Adobe、SAP、Citrix、西门子、施耐德电机等厂商，纷纷发布相关公告及更新软体，IT人员应留意相关公告，规画修补行程。
其中，微软发布的公告相当值得留意，因为这次有4个零时差漏洞，其中一个与MSHTML平台有关的CVE-2024-43451，由于在公告前已遭公开，且有实际攻击行动，后续影响有待观察。
【攻击与威胁】
专精苹果装置管理的资安业者Jamf指出，他们在10月下旬，在上传到恶意程式分析平台VirusTotal的档案里，发现北韩骇客企图利用跨平台应用程式框架Flutter做为散布macOS恶意软体的管道，由于采用这款框架打造的应用程式会导致其程式码变得更加复杂，而有可能让攻击者借此逃过各式资安防护机制的侦测。
研究人员发现这些恶意程式档案存在攻击意图，但所有防毒引擎皆将其视为无害，而且，这些恶意软体还带有签章，并通过苹果的公证程序。对于骇客的意图，他们表示目前仍不得而知，无法确定是否已被用于实际攻击行动，或是攻击者正在打造、测试新的恶意程式。
虽然无从得知攻击者是正在进行测试，还是已经准备投入攻击活动，但研究人员指出，这是他们首度看到有人利用Flutter掩人耳目，并且企图以此对macOS用户发动攻击的情形。
◆11月12日微软发布本月份例行更新（Patch Tuesday），总共修补89个漏洞，其中有26个权限提升漏洞、2个安全功能绕过漏洞、52个远端程式码执行（RCE）漏洞、1个资讯泄露漏洞、4个阻断服务（DoS）漏洞，以及3个能被用于欺骗的漏洞。值得留意的是，本次有4个是零时差漏洞，这里面有2个已出现实际利用的状况。
4个零时差漏洞分别是：NTLM杂凑值泄露欺骗漏洞CVE-2024-43451、AD凭证服务（ADCS）权限提升漏洞CVE-2024-49019、Windows工作排程器权限提升漏洞CVE-2024-49039、Exchange伺服器欺骗漏洞CVE-2024-49040。其中，CVE-2024-43451、CVE-2024-49039已出现实际攻击行动；在此同时，除了CVE-2024-49039是现在揭露，其余3个漏洞资讯皆已遭到公开。
11月SAP发布8个资安公告，并更新其中2个已公开的漏洞资讯，其中最受到注意的部分，是CVSS风险评分最高的CVE-2024-47590，影响的产品是应用程式负载平衡系统Web Dispatcher，属于跨网站指令码（XSS）弱点，危险程度为8.8分。
针对这项漏洞带来的危险，SAP指出未经身分验证的攻击者能制作能公开存取的恶意连结，一旦有通过身分验证的使用者点选，网页便会在使用者的浏览器以输入资料产生内容，进行跨网站指令码攻击，或是将这些资料传送到其他伺服器，进行伺服器请求伪造（SSRF）攻击，导致攻击者能够执行任意程式码，从而影响伺服器的机密性、完整性、可用性。
其他漏洞与修补
【澳洲墨尔本现场报导】以网路设备起家的思科，近年来不断拓展其技术版图，不仅资安产品涵盖的面向越来越广，去年他们更是并购Splunk、推出了Cisco AI Assistant，持续引发业界关注，也让外界对其发展感到更加期待。
今年的思科亚太区年度用户大会Cisco Live!，于11月12日在澳洲墨尔本市召开，该公司亚太、日本和大中华区总经理Dave West在第一天活动主题演讲，谈到思科的重要转变，他说：「要成为一家成功的网路公司，必须具备顶尖的资安实力；而要成为领先的资安公司，则需要强大的AI能力，而为了成为AI公司，有赖于成为一流的资料公司。」
于此同时，思科也在本次大会上，发表了全新世代的无线网路设备──首款Wi-Fi 7基地台。虽然，这看起来只是无线网路规格的升级，但我们注意到思科在相关整合上的显著进步，涵盖无线网路解决方案本身，以及AI、资安，以及思科各种网路产品的相关整合。