158個物聯網供應商現漏洞,黑客可竊取敏感信息,你中招了嗎?

網絡安全研究人員揭示了多個廣泛使用的嵌入式TCP / IP堆棧中的十二個新缺陷,這些缺陷影響着數百萬種設備,從網絡設備,醫療設備到工業控制系統,攻擊者可能會利用它們來控制易受攻擊的系統。

研究人員統稱爲“ AMNESIA:33 ”,它是一組33個漏洞,它影響Internet中常用的四個開源TCP / IP協議堆棧-uIP,FNET,picoTCP和Nut / Net。物聯網(IoT)和嵌入式設備。

由於內存管理不當,成功利用這些缺陷可能會導致內存損壞,從而使攻擊者可以破壞設備,執行惡意代碼,執行拒絕服務(DoS)攻擊,竊取敏感信息,甚至破壞DNS緩存。

在現實世界中,這些攻擊可能會以各種方式發揮作用:破壞電站的功能以導致停電,或者通過使用任何DoS漏洞使煙霧報警器和溫度監控器系統脫機。

估計有158個供應商的數百萬設備易受AMNESIA:33攻擊,遠程代碼執行的可能性使攻擊者可以完全控制設備,並將其用作IoT設備網絡上的入口點,以進行橫向移動,建立持久性,並在不知情的情況下將受感染的系統加入殭屍網絡。

研究人員說:“AMNESIA:33影響到多個非單個公司擁有的開源TCP / IP協議棧。” “這意味着單個漏洞傾向於在多個代碼庫,開發團隊,公司和產品之間輕鬆且無聲地傳播,這給補丁管理帶來了巨大挑戰。”

就像最近披露的Urgent / 11和Ripple20漏洞一樣,AMNESIA:33源於越界寫入,溢出漏洞或缺乏輸入驗證,從而導致內存損壞並使攻擊者能夠將設備置於無限大的狀態。循環,破壞DNS緩存並提取任意數據。

uIP(CVE-2020-24336),picoTCP(CVE-2020-24338)和Nut / Net(CVE-2020-25111)是三個最嚴重的問題,它們都是遠程代碼執行(RCE)缺陷。

CVE-2020-24336-用於解析通過NAT64發送的DNS響應數據包中的DNS記錄的代碼無法驗證響應記錄的長度字段,從而使攻擊者可以破壞內存。

CVE-2020-24338-解析域名的功能缺少邊界檢查,使攻擊者可以使用精心製作的DNS數據包破壞內存。

CVE-2020-25111-在處理DNS響應資源記錄的名稱字段期間發生堆緩衝區溢出,從而允許攻擊者通過將任意數量的字節寫入分配的緩衝區來破壞相鄰內存。

東方聯盟研究人員說:“嵌入式系統,例如IoT和運營技術設備,由於補丁程序問題,較長的支持生命週期和漏洞“欺騙”高度複雜和不透明的供應鏈而往往具有較長的漏洞壽命。”

結果,嵌入式TCP / IP堆棧中的漏洞有可能影響跨垂直行業的數百萬甚至數十億個設備,並且在很長一段時間內仍將是一個問題。(歡迎轉載分享)

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章