|
|
教育機構ANA通報平台
| 發佈編號 |
TACERT-ANA-2019060601065858 |
發佈時間 |
2019-06-06 13:49:00 |
| 事故類型 |
ANA-漏洞預警 |
發現時間 |
2019-05-31 00:00:00 |
| 影響等級 |
中 |
|
|
| [主旨說明:]
【漏洞預警】京晨科技(NUUO Inc.)網路監控錄影系統(Network Video Recorder, NVR)存在安全漏洞(CVE-2019-9653)，允許攻擊者遠端執行系統指令，請儘速確認並進行韌體版本升級 |
| [內容說明:]
轉發國家資安資訊分享與分析中心 資安訊息警訊 NISAC-ANA-201906-0027 NUUO NVR是一個以嵌入式Linux為基礎的網路監控錄影系統，可同時管理多個網路攝影機，並將影像回傳至儲存媒體或設備。本中心研究團隊發現多款NUUO NVR產品系統存在安全漏洞(CVE-2019-9653)，攻擊者可繞過身分驗證於目標系統上執行任意程式碼。由於NVR系統之handle_load_config.php頁面缺少驗證與檢查機制，攻擊者可透過發送客製化惡意請求，利用此漏洞以管理者權限(root)遠端執行系統指令。 此訊息僅發送到「區縣市網路中心」，煩請貴單位協助公告或轉發 |
| [影響平台:]
NUUO NVR相關產品其韌體版本為1.7.x 至 3.3.x版本 |
| [建議措施:]
目前京晨科技官方已有較新版本的韌體釋出，建議將韌體版本升級至最新版本：
- 使用官方提供之新版本韌體進行更新，下載連結：https://www.nuuo.com/DownloadMainpage.php
- 針對無法更新之NVR系統，請透過防護設備或系統內部設定限制存取來源，嚴格限制僅管理人員能夠存取系統之handle_load_config.php頁面，並禁止對該頁面發送任何系統指令與傳入特殊字元。
|
[參考資料:]
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-9653
- https://www.nuuo.com/DownloadMainpage.php
|
【上個月資訊組長會議】
日期：108年6月18日(二)
地點：仁愛國小語言教室
主題：
- 上午10:00~11:00：iPad 課堂的教學與創新、iPad 行動教學的成功關鍵
- 上午11:00~12:00：Swift Playgrounds 編程學習 App
- 下午：Scratch 3與 NKNU-Scratch3.0
公文：
工作報告與研討：
前瞻計畫工程問題：
- 5 Port 交換器若沒有電源，廠商要負責處理。
- 部份教室 5 Port 交換器會有問題，網點正常，接交換器後網路就會不通。
影音整合器目前尚未定出 SOP，工程暫停。
- 問：請問智慧盒在前瞻沒完成前可作嗎？SOP出來了嗎？目前廠商可作嗎？之前問題解決了嗎？
- 答：停工中。先拒絕。
請九大區頭頭，將智慧盒停工告之各區，謝謝。
我剛接到電話NEC廠商要場勘，接著安排施工。
佈線案跟整合器兩案本來就互不影響，只因為要接網路線扯在一起我覺得很怪。現在是卡在規格功能的交付及佈線有問題。
明明沒有正式開工廠商可以自行做主也很誇張。已經失控了。
成長研習：
iPad 課堂的教學與創新、iPad 行動教學的成功關鍵
Swift Playgrounds 編程學習 App
Scratch 3與 NKNU-Scratch3.0
一、Scratch 3
二、NKNU-Scratch3.0
微課程-馬達與感測器停車場管理員
微課程-馬達與感測器超音波鋼琴師
Q&A問答集 – A.馬達與感測器
Q&A問答集 – B.履帶車 (D.F.G)
Q&A問答集 – C.電動車 (E.H)
相關連結：
教育機構ANA通報平台
| 發佈編號 |
TACERT-ANA-2019060309060808 |
發佈時間 |
2019-06-03 09:59:09 |
| 事故類型 |
ANA-漏洞預警 |
發現時間 |
2019-05-30 00:00:00 |
| 影響等級 |
低 |
|
|
| [主旨說明:]
【漏洞預警】校園數位學習平台 WMP 智慧大師含有 Command Injection 漏洞 |
| [內容說明:]
轉發 台灣電腦網路危機處理暨協調中心 資安訊息警訊 TWCERTCC-ANA-201905-0007
本次通報的漏洞屬於Command Injection的高風險漏洞，如果管理者未在網站的輸入表單中過濾敏感字元，攻擊者則有可能透過這些進入點將指令傳送至伺服器端執行。以本次通報的漏洞而言，該漏洞可以上傳webshell，並取得主機管理者帳密、資料庫帳秘等機敏資訊，也可以執行未經授權的任意系統指令。
此訊息僅發送到「區縣市網路中心」，煩請貴單位協助公告或轉發 |
| [影響平台:]
WMP 智慧大師 |
| [建議措施:]
1. 確認貴單位是否使用此軟體，連絡廠商協助進行更新修補作業2. 修補該程式漏洞，對輸入欄位進行惡意字元過濾作業 |
| [參考資料:]
無 |
日期：108年6月4日(二)
時間：下午 1:00 – 4:00
地點：蘆洲區蘆洲國中仁愛樓2F科技中心教室
主題：空氣清淨機研討
類別：機電整合
講師：吳飛宏
公文：
課程內容：
現場實況錄影：
相關學習資源：
活動照片：
日期：108年6月3日(一)
時間：10:30 – 12:00
地點：會議室
主持人：賴森華校長
記錄：邱昭士 資訊組長
出列席人員：行政人員、各學年主任
討論事項：
- 檢視資安維護計畫實施情形及檢討資通安全政策。
- 有關資通安全維護計畫請於時限內完成並核章後繳交至上級機關備查。
活動照片：
工作報告：
教育部國民中小學資訊安全管理系統
- 108年學校填報期限：108/04/08 ~ 108/07/26
檢視、討論與議決：
- 本校「資通安全維護計畫」
- 本校「資通安全維護計畫相關附件」
-
- 資通安全管理代表及推動小組成員分工表
- 資通安全保密同意書
- 資通安全需求申請單
- 資訊及資通系統資產清冊
- 風險評估表
- 風險類型暨風險對策參考表
- 資訊資產價值評定標準
- 風險事件發生可能性評定標準
- 管制區域人員進出登記表
- 委外廠商執行人員保密切結書、保密同意書
- 委外廠商查核項目表
- 資通安全認知宣導及教育訓練簽到表
- 資通安全維護計畫實施情形
- 審查結果及改善報告
- 改善績效追蹤報告
會議決議：
- 由資訊組長製作本校資通安全維護計畫及其相關附件，完成後呈校長核章後公告校網，並上傳至教育部國民中小學資訊安全管理系統。
備註：本次會議結合本校六月份擴大行政會議合併召開。
|
|
