原标题：VMware修补了被骇客竞赛pwn2own攻陷的4个漏洞
图片来源:VMware
云端及虚拟软体供应商VMware在本周释出了 VMSA-2017-0006，修补日前于Pwn2Own骇客竞赛中被攻陷的多个安全漏洞。
在今年的，来自中国的360 Security与Tencent Security都成功地攻陷了VMware Workstation 桌面虚拟运算软体，藉由虚拟机作业系统上的安全漏洞，突破了虚拟机的隔离疆界，直接与hypervisor互动，造成虚拟机逃逸（Virtual Machine Escape）。
VMware即是修补了由这两个团队所发现的4个安全漏洞，其中，CVE-2017-4902为一缓冲区溢位漏洞，CVE-2017-4903与CVE-2017-4904皆属未初始化堆叠数值漏洞，这3个漏洞都可被用来执行程式攻击，被列为重大漏洞，而CVE-2017-4905则属未初始化记忆体读取漏洞，可造成资讯外洩，为中度漏洞。
虽然针对上述漏洞的攻击程式只在Windows版的VMware Workstation进行展示，不过，VMware除了更新VMware Workstation之外，也更新了VMware vSphere ESXi与VMware Fusion。VMware亦强调目前并未接获任何针对相关漏洞的攻击报告。
VMware表示，上述漏洞的共通点皆是必须先在客座作业系统上植入恶意程式才能展开攻击，因此，利用一般的防御方式其实就能封锁骇客攻击hypervisor的途径，例如在客座作业系统上安装防毒软体或防火墙，至于诸如使用中的资料库等已被限制的环境应不允许执行任意程式，因此也可减轻相关的威胁。
VMware资深工程师Kevin Christopher指出，资安在这数十年来有极大的变化，20年前骇客只利用单个漏洞就能攻陷软体，10年前利用2个漏洞是常态，但今年参与Pwn2Own 2017的Chaitin安全研究实验室却透过6个安全漏洞才取得macOS的最高权限，显示不论是安全业者或是骇客的技术皆与日俱进。
Christopher说，此一现象改变了软体开发者的心态，他们所担心的已不是产品是否含有漏洞，而是漏洞何时会被揭露，因此将会更积极地寻找漏洞，并与安全社群密切合作，以理解最新趋势与研究成果，并开发更有效率的修补机制。
相关：
示意图，与新闻事件无关。 图片来源: 微软 两名来自中国南方科技大学的安全研究人员Zhiniang Peng与Chen Wu在本周透过GitHub公开了锁定微软IIS 6.0零时差安全漏洞的攻击程式，还说去年中就有骇客利用该漏洞展开攻击
示意图，与新闻事件无关。 图片来源: FBI 美国联邦调查局（FBI）上周警告，已得知有骇客针对基于匿名模式的FTP（File Transfer Protocol）伺服器展开攻击，且锁定了医疗及牙科相关领域的设备，藉以取得病患的健康资
图片来源: Chrome Web Store 才在上周修补两个安全漏洞的密码管理程式LastPass本周一（3/27）再度表示，正在修补Google安全研究人员Tavis Ormandy于上周末提交的LastPass浏览器扩充程式漏洞。LastPass上周修补的两个
奥尼尔：安东尼和罗斯是最大漏洞，安东尼：别站在岸上不嫌水凉 [生活]
三角战术可以说是禅师杰克逊的独门绝技，也是其一生的代表作。至少在尼克斯之外的湖人以及公牛时期多多少少都证明了三角战术的伟大，但是为何到了尼克斯就打成这样一副样子呢？▲三角进攻成就了乔丹来听下奥尼尔是怎
横行台、日的网络骇客组织Blackgear神秘面纱首度在台揭露，攻击手法大剖析
图片来源: 趋势科技 相信资安圈的人对Blackgear都不陌生，网路骇客组织Blackgear曾在2012年大肆攻击台湾的企业和政府单位，当时Blackgear的手法新颖，是第一个利用恶意中继站的方式进行APT攻击，不过，根据趋势科技的