|
|
行政院國家資通安全會報技術服務中心
漏洞/資安訊息警訊
| 發布編號 |
NCCST-ANA-2020-0073 |
發布時間 |
Mon Jul 20 17:47:26 CST 2020 |
| 事件類型 |
漏洞預警 |
發現時間 |
Wed Jul 01 00:00:00 CST 2020 |
| 警訊名稱 |
HiCOS跨平台網頁元件存在安全性漏洞，允許攻擊者遠端執行任意程式碼，請儘速確認並進行更新 |
| 內容說明 |
近期接獲外部情資，發現憑證管理中心提供之HiCOS跨平台網頁元件(受影響版本請參考「影響平台」說明)存在Command Injection漏洞，導致可任意呼叫外部執行檔，有心人士可利用該漏洞搭配社交工程手法，入侵使用者資訊設備，請儘速更新HiCOS跨平台網頁元件版本。
此外，請各機關先行調查內部應用服務系統是否需下載安裝HiCOS跨平台網頁元件，始能提供應用服務，亦促請開發廠商進行版本更新，並於下載平台公告更新訊息，後續行政院資通安全處將請各機關回報使用HiCOS跨平台網頁元件之應用服務系統調查結果。 |
| 影響平台 |
Windows作業系統跨平台網頁元件 1.3.4.103327之前版本
Mac作業系統跨平台網頁元件 1.3.4.13之前版本 |
| 影響等級 |
高 |
| 建議措施 |
1.建議使用者可於內政部憑證管理中心官網之「檢視目前已安裝版本及IC卡自我檢測」功能，確認目前使用之HiCOS跨平台網頁元件版本(https://moica.nat.gov.tw/rac_plugin.html)
2.依HiCOS跨平台網頁元件安裝程序更新至最新版本，以系統管理員身分安裝，安裝完成後，須將電腦重新開機，讓安裝程式的設定值生效。
3.HiCOS跨平台網頁元件更新相關疑問，可透過內政部憑證管理中心客服專線0800-080-117或服務信箱cse@moica.nat.gov.tw洽詢。 |
| 參考資料 |
無。 |
|
| 此類通告發送對象為通報應變網站登記之資安人員。若貴 單位之資安人員有變更，可逕自登入通報應變網站（https://www.ncert.nat.gov.tw）進行修改。若您仍為貴單位之資安人員但非本事件之處理人員，請協助將此通告告知相關處理人員。
如果您對此通告的內容有疑問或有關於此事件的建議，請勿直接回覆此信件，請以下述聯絡資訊與我們連絡。
地 址： 台北市富陽街116號
聯絡電話： 02-27339922
傳真電話： 02-27331655
電子郵件信箱： service@nccst.nat.gov.tw |
日期：109年7月21日(二)
地點：青山國中小
主題：App Inventor 2 手機 APP 設計進階課程：雲端資源專題應用
講師：邱昭士老師
公文：
課程內容：
教學範例：
參考網站：Jing的教學園地 – 延伸學習：App Inventor 2 – 雲端資源專題應用
專題1：英文單字集
- 先建立一英文單字及中文說明之資料庫，以CSV格式(Comma Separated Values)的文字檔案，即以『,』逗號分隔，每筆資料以Enter分行儲存，副檔名為『*.csv』。如下圖，當按下【隨機選字】按鈕，即隨機由資料庫中選一筆單字，播放出，並將該中文說明一併顯示；當按下【再唸一次】按鈕，即再播放一次該單字。
- 重點：學會資料庫結合『TextToSpeech文字語音轉換器』、『File檔案管理』及『Web網路』元件的設計與專題應用。
專題2：台灣即時空氣品質監測
- 程式下載：pm25.aia
- 請依『縣市』及『觀測站』查詢『空氣汙染指標(PSI)』與『細懸浮微粒(PM2.5)指數』，並分別判斷兩者之警示等級。＊警示等級分別參閱：行政院環境保護署－空氣品質監測網：空氣品質指標(AQI)與健康影響，及細懸浮微粒(PM2.5)指標對照表與活動建議。
- 重點：學會『OpenData.epa』雲端資源(以JSON格式檔案)及『Web網路、ListPicker清單選擇器』元件的設計與專題應用。
- 行政院環境保護署環境資源資料開放平台：https://data.epa.gov.tw
- 查詢「空氣品質即時污染指標(含PM2.5)」：https://data.epa.gov.tw/dataset/psi_p_02
- JSON（JavaScript Object Notation）是一種輕量級的資料交換語言。透過 Code Beautify→ JSON Viewer 線上工具可檢視資料結構。
- JSON Editor Online：view, edit and format JSON online。
- JSON 維基百科
畫面編排(Designer)頁面：
- Screen1屬性【畫面方向→設定『鎖定直式畫面』】，並核選『允許捲動』，以利編輯，待程式設計時再取消『捲動』。
- city(下拉式選單)：顯示『縣市』名稱，在【元件屬性→元素字串→輸入：全部,宜蘭縣,花蓮縣,臺東縣,基隆市,臺北市,新北市,桃園市,新竹縣,新竹市,苗栗縣,臺中市,彰化縣,南投縣,雲林縣,嘉義市,嘉義縣,臺南市,高雄市,屏東縣,澎湖縣,連江縣,金門縣】，請以「,」隔開各『縣市』名稱。參閱： 臺灣行政區劃-維基百科。
- station(清單選擇器)：存放各『觀測站』名稱，需在程式設計時由雲端資料引入，故在未載入資料前【元件屬性面板→「不核取」啟用】。
- sitename(標籤)：顯示選取之『觀測站』名稱。
- Web1(網路)：在程式設計中可取得公開平台之資料來源。
程式設計(Blocks)頁面：
(一)定義全域變數：
- weburl：【空氣品質指標(AQI)】公開平台中『JSON』格式資料來源之網址(內含『縣市』及測站相關資料），請複製『JSON』連結網址，如下。
http://opendata.epa.gov.tw/webapi/Data/REWIQA/?$orderby=SiteName&$skip=0&$top=1000&format=json
- elist：以清單儲存由雲端讀取回來之資料。
- listpickerstr：以字串儲存下拉式選單中之資料內容。
- statusaqi：儲存回傳之 AQI 狀況。
- statuspm25：儲存回傳之PM2.5 狀況。
- statusmode：用來判斷欲顯示之資料類型，0代表顯示AQI，1代表顯示PM2.5。
(二)程式設計：
專題3：台幣匯率換算
- 台幣匯率換算，先選擇外幣別，再輸入金額，即可開始試算外幣兌換台幣，亦可『幣別交換』或選擇其他幣別兌換。
- 重點：學會Google試算表之雲端資源及『Web網路、ListPicker清單選擇器』元件的設計與專題應用。
專題4：多媒體動畫影片作品展示
- 先『選取動畫影片』名稱，再按下『播放』，若按下『結束』則結束App應用程式。
- 重點：學會Google試算表之雲端資源及『Web網路、ActivityStarter啟動器』元件之設計與專題應用。
專題5：急難救援
- 在緊急狀況時可透過手機定位資訊自動傳送簡訊或撥打電話給家人，以利快速救援。
- 重點：學會『LocationSensor(位置感測器)、ActivityStarter啟動器』元件之設計與專題應用。
日期：109年7月20日(一)
地點：青山國中小
主題：App Inventor 2 手機 APP 設計
講師：邱昭士老師
公文：
課程內容：
教學範例：九九乘法表、自訂函數猜數字練習、小畫家
行政院國家資通安全會報技術服務中心
漏洞/資安訊息警訊
Synology NAS Server 系統更新：
-
-
-
DSM 安裝版本：DSM 6.2.3-25426 Update 2 (發行資訊)
-
DSM 版本日期：2020/07/16
-
-
版本: 6.2.3-25426-2
(2020-07-16)
注意事項
- 您的 Synology NAS 可能基於下列原因，不會通知您有此 DSM 更新。若要立即將 DSM 更新至此版本，請點選此處並執行手動更新。僅安裝 DSM 6.2.3 的 Synology NAS 可更新至此版本。
- 此更新尚未在您的所在地區發佈。此更新預計在數日內發佈至所有地區，但各地區的實際發佈時間可能略有不同。
- 此更新將會重新啟動您的 Synology NAS。
新功能
- 新增支援 Synology FX2421 擴充裝置。
問題修正
- 修正 DS920+、DS720+ 機種在已連線的擴充裝置進入深度睡眠後，可能無法正常進入休眠狀態的問題。
- 修正擴充裝置從深度睡眠喚醒後，該裝置的硬碟狀態 LED 指示燈可能無法正常運作的問題。
- 修正某些時區 (例如：都柏林、卡薩布蘭加) 的日光節約時間可能無法正確顯示的問題。
- 修正在 Synology NAS 上掛載遠端共用資料夾時，在特定情況下可能有儲存空間無法操作或無法將 Synology NAS 關機的問題。
- 修正 DS413、DS213+ 機種從深度睡眠喚醒時可能會錯誤顯示「硬碟槽停用」訊息的問題。
- 針對以機械硬碟 (HDD) 建構 RAID 1 而組成的 Btrfs 儲存空間，提升寫入大量檔案的效能。
- 修正當啟動「使用閒置記憶體作為資料庫快取，以提升 (搜尋) 效能」選項時，Synology Universal Search 及 Synology Drive 可能會占用過多 CPU 資源的問題。
- 修正因網域資料更新無法完成，導致網域相關服務無法恢復運作的問題。
- 修正安全性弱點 (Synology-SA-20:18)。
- 修正在加裝網路介面卡時，若「當目標 IP 位址與連入介面的本地位址相同時，回應 ARP 要求」選項尚未啟動，可能會誤報 IP 位址衝突訊息的問題。
- 修正在已啟動 Open vSwitch 時，未連接網路線的網路埠狀態可能無法正確偵測的問題。
|
|
