P2P的問題韌體能輕易導致2百萬臺IoT遭駭

安全研究人員發現,上百家品牌的物聯網裝置包含有漏洞的P2P韌體組件,導致全球超過200萬臺包括IP攝影機、智慧門鈴、嬰兒監視器等連網裝置遭黑客劫持、竊取數據或遠程控制。這是由安全研究人員Paul Marrapese首先發現並揭露。受影響的裝置都包含一款由中國深圳的Yunni Technology所開發名爲iLnKP2P的點對點(P2P)韌體組件,這款軟件讓用戶一上線就可鏈接物聯網裝置,而無需經過設定防火牆組態。研究人員發現iLnKP2P存在二項漏洞。CVE-2019-11219 爲一列舉漏洞(enumeration vulnerability),可讓攻擊者迅速發現連網裝置。由於點對點技術特性,攻擊者可以繞過防火牆限制而直接鏈接任意裝置。CVE-2019-11220則爲驗證漏洞,即缺乏驗證機制或加密,使攻擊者得以攔截用戶到裝置間的聯機而執行中間人(MiMT)攻擊,竊取裝置密碼後接管物聯網裝置,例如反過來監視用戶。

上百家品牌的物聯網裝置如IP攝影機、智能門鈴、Webcam、嬰兒監視攝影機、DVR等都使用到這款軟件組件,估計總共超過200萬臺,受影響品牌包括HiChip(海芯威視)、TENVIS、SV3C、VStarcam、Wanscam、NEO Coolcam、Sricam、Eye Sight及HVCAM,多半爲中國品牌,但有些也在網站銷售。研究人員也列出有漏洞裝置的UID(Unique Identifier)碼。凡是家中攝影機產品卷標上的UID碼出現於上頭,表示可能已經中標。研究人員建議用戶換買知名品牌的裝置,因爲小廠產品基本上無法更新韌體。如果無法換掉,也可以封鎖UDP port 32100的對外聯機。

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章