Web應用框架ASP.NET Core DataProtection套件存在提權漏洞，受影響環境須升級並輪換金鑰

來源：https://www.ithome.com.tw/news/175258

微軟資安公告，確認現代化Web應用框架ASP.NET Core的Microsoft.AspNetCore.DataProtection套件10.0.0至10.0.6版本存在提權漏洞CVE-2026-40372，CVSS 3.1評分9.1。漏洞主要影響在Linux或macOS上執行、且使用受影響版本DataProtection套件的.NET 10應用程式，Windows平臺通常不受影響。微軟指出，受影響環境除須升級套件外，若漏洞期間曾對外提供服務，還需輪換DataProtection金鑰，否則攻擊者在此期間取得的合法權杖（Token）仍可能持續有效。

漏洞發生於DataProtection套件的密碼學簽章驗證機制存在缺陷，微軟說明，攻擊者可藉由偽造認證Cookie發動提權攻擊，部分受DataProtection保護的資料內容也可能被解密。修補後，帶有全零HMAC位元組的偽造資料內容將被拒絕。

主要受影響情境是應用程式以NuGet套件直接引用DataProtection 10.0.6，且執行於Linux或macOS。若應用程式實際載入的是ASP.NET Core共用框架內建版本，則不在影響範圍內。.NET 8.x與9.x的DataProtection套件同樣不受此問題影響，因為這段有缺陷的程式碼是在.NET 10開發過程中引入，未被移植至舊版。

官方強調，單純升級套件至10.0.7並不足夠。若應用程式在漏洞期間對外提供服務，攻擊者可能已透過偽造Cookie成功通過驗證，並取得系統後續合法簽發的Token，例如API金鑰或密碼重設連結。由於這些Token在升級後不會自動失效，受影響環境還需輪換DataProtection金鑰。

微軟建議依序完成三項處置，分別為升級套件至10.0.7並重新部署；輪換DataProtection金鑰；盤點漏洞期間所發出的長效Token，包括存於資料庫的API金鑰與尚未過期的密碼重設連結，這些屬於應用層資產，金鑰輪換無法使其失效，需由應用程式自行處理。要是應用程式在受保護的資料內容中儲存資料庫連線字串或第三方API金鑰等長效秘密，也應視為可能已洩露，盡速於來源端更換。

'

資安公司Checkmarx遭供應鏈攻擊，掃描工具KICS的Docker映像檔、VS Code延伸套件被入侵

來源：https://www.ithome.com.tw/news/175264

一個月前，資安公司Checkmarx開發的開源基礎架構掃描工具KICS遭遇供應鏈攻擊，駭客團體TeamPCP滲透KICS的GitHub Actions，植入可竊取憑證的惡意程式碼，影響使用該工具進行CI/CD流程的開發人員，如今KICS再度傳出遭遇供應鏈攻擊。

資安公司Socket近日接獲Docker的通報，得知KICS的Docker Hub儲存庫出現惡意映像檔，Socket進一步調查此事，發現攻擊者覆寫了原本的標籤，並引入與上游版本不符的新標籤。而且，映像檔內的KICS二進位檔被竄改，駭客加入了原本不具備的資料收集與外洩功能，使得惡意的KICS能產生未經審查的掃描報告，進行加密處理後傳送到外部。企業若是利用KICS掃描Terraform、CloudFormation或Kubernetes的組態，就有可能受到這波攻擊影響。不過，截至目前為止，Checkmarx未公開回應此事。

值得留意的是，經過深入調查，Socket發現Checkmarx其他開發工具也疑似受到影響，其中包含近期發布的Visual Studio Code（VS Code）延伸套件，駭客植入的惡意程式碼，會透過執行環境Bun下載其他附加元件，並在不需使用者確認的情況下，從特定的GitHub網域抓取JavaScript指令碼並執行。

究竟駭客植入的惡意程式會帶來哪些危害？Socket指出會收集開發環境及雲端憑證，洩露至以受害者帳號建立的公開GitHub儲存庫。另外，惡意軟體也會利用竊得的GitHub憑證，注入新的GitHub Actions工作流程，然後從工作流程挖掘機敏資訊，或是利用竊得的NPM憑證，識別可寫入的套件並試圖發布有問題的版本。Socket強調，駭客並非單純竊取受害環境的資料，而是將開發者的CI/CD存取權限變成新的供應鏈攻擊途徑。

值得留意的是，TeamPCP透露這起事故可能是他們所為，在社群網站X發布訊息嘲諷，但Socket認為，單憑這則推文，難以證明攻擊者就是TeamPCP。

'

蘋果修補iOS通知服務漏洞，試圖弭平已刪訊息仍保留於裝置內的爭議

來源：https://www.ithome.com.tw/news/175259

不久前的4月初，蘋果才發布iOS 26.4.1與iPadOS 26.4.1，以及iOS 18.7.7與iPadOS 18.7.7，但僅僅兩周之後，又於4月22日釋出iOS 26.4.2與iPadOS 26.4.2，以及iOS 18.7.8與iPadOS 18.7.8。蘋果這次在正常更新週期之外的緊急更新，目的是修補通知服務（Notification Services）的漏洞，此弱點的存在，可能導致原本已標記為刪除的通知訊息內容，仍保留於用戶裝置，進而產生隱私疑慮。

在漏洞細節方面，這次修補的漏洞編號為CVE-2026-28950，尚未公布CVSS嚴重性評分，蘋果在公告中指出此漏洞涉及的問題為：被標記為刪除的通知訊息內容，可能會意外地保留在裝置上，該公司則透過改進資料遮蔽機制（data redaction），以及修正日誌紀錄（logging）從而解決問題。

綜觀蘋果這次的修補，凸顯出手機通知服務潛藏的資安風險。首先，通知本身不僅是「通知」，往往包含敏感的私人訊息，一旦外洩，就會造成隱私風險。

其次，通知服務的訊息內容，除了在應用程式上保存外，行動裝置的底層系統（如iOS），以及服務平臺端，可能也會透過日誌或其他方式保存部分訊息內容，因而即便用戶從應用程式刪除通知訊息，但行動裝置底層與服務平臺可能都還留有相關內容，而沒有徹底清除，也留下訊息內容外洩的隱患。對於執法者來說，這可能是個便於取證的管道，但對於即時通訊軟體用戶與供應商來說，這形同於可能造成訊息外洩的後門。無論如何，對於一向自詡重視用戶隱私的蘋果來說，顯然無法置身事外，或許這也促使蘋果等不到5月份的下一次例行性更新，而臨時於4月22日專門針對這個通知服務漏洞，釋出額外的iOS與iPadOS更新版本。

'