物聯(lián)網(wǎng)設(shè)備軟件供應(yīng)鏈再爆嚴(yán)重漏洞

時(shí)間：2021-08-19

物聯(lián)網(wǎng)設(shè)備軟件供應(yīng)鏈再爆嚴(yán)重漏洞，數(shù)百萬(wàn)設(shè)備面臨被操控風(fēng)險(xiǎn)
 

Mandianat公司的研究人員當(dāng)?shù)貢r(shí)間周二表示，數(shù)百萬(wàn)智能家居設(shè)備使用的軟件存在漏洞，此漏洞已被分配CVSS3.1基礎(chǔ)分?jǐn)?shù)為9.6，并被跟蹤為CVE-2021-28372和FEYE-2021-0020。黑客可能會(huì)竊取嬰兒監(jiān)視器和網(wǎng)絡(luò)攝像頭等設(shè)備上的音頻和視頻數(shù)據(jù)。該漏洞存在于臺(tái)灣物聯(lián)網(wǎng)(IoT)供應(yīng)商ThroughTek開發(fā)的一個(gè)軟件協(xié)議中，該公司的客戶包括中國(guó)電子巨頭小米。ThroughTek說(shuō)，相機(jī)供應(yīng)商Wyze等其他品牌生產(chǎn)的8,300萬(wàn)臺(tái)設(shè)備運(yùn)行該公司的軟件。Mandiant表示，要利用這一漏洞，攻擊者需要對(duì)軟件協(xié)議有“全面的了解”，并獲取目標(biāo)設(shè)備使用的唯一標(biāo)識(shí)符。有了這種權(quán)限，黑客就可以遠(yuǎn)程與設(shè)備進(jìn)行通信，可能會(huì)導(dǎo)致后續(xù)的嚴(yán)重后果。糟糕的是，這并不局限于某個(gè)制造商。它出現(xiàn)在一個(gè)軟件開發(fā)工具包中，滲透到8300多萬(wàn)臺(tái)設(shè)備中，每個(gè)月有超過(guò)10億的互聯(lián)網(wǎng)連接。國(guó)土安全部下屬CISA計(jì)劃發(fā)布一項(xiàng)公眾建議，以提高人們對(duì)安全問(wèn)題的認(rèn)識(shí)。

 

 

涉事廠家反應(yīng)

 

所涉及的SDK是ThroughTek Kalay，它提供一種即插即用的系統(tǒng)，用于將智能設(shè)備與相應(yīng)的移動(dòng)應(yīng)用程序連接起來(lái)。Kalay平臺(tái)代理設(shè)備及其應(yīng)用程序之間的連接，處理身份驗(yàn)證，并來(lái)回發(fā)送命令和數(shù)據(jù)。例如，Kalay提供了內(nèi)置功能，可以協(xié)調(diào)安全攝像頭和可以遠(yuǎn)程控制攝像頭角度的應(yīng)用程序。安全公司Mandiant的研究人員在2020年底發(fā)現(xiàn)了這一嚴(yán)重漏洞，他們于8月17日與國(guó)土安全部的網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(Cybersecurity and Infrastructure security Agency)一起公開披露了這一漏洞。

 

ThroughTek產(chǎn)品安全事件響應(yīng)小組(Product Security Incident Response Team)的員工陳怡清(Yi-Ching Chen，音)說(shuō)，該公司已經(jīng)通知客戶該漏洞，并建議他們?nèi)绾螌⒂纱艘l(fā)的安全風(fēng)險(xiǎn)降至最低。

 

“我們認(rèn)真考慮網(wǎng)絡(luò)安全問(wèn)題，并在開發(fā)產(chǎn)品時(shí)采取了安全措施，”陳怡清在一封電子郵件中說(shuō)。“我們有一個(gè)專門的軟件測(cè)試團(tuán)隊(duì)，以確保我們的軟件具有很高的質(zhì)量和安全性，并定期進(jìn)行滲透測(cè)試。”

 

ThroughTek沒(méi)有回復(fù)《連線》雜志的置評(píng)請(qǐng)求。今年6月，該公司發(fā)布了Kalay 3.1.10版本的漏洞修復(fù)程序。

 

網(wǎng)絡(luò)安全公司反應(yīng)

 

曼迪昂特(Mandiant)的董事杰克•瓦萊塔(Jake Valletta)表示，你把Kalay植入其中，它就是這些智能設(shè)備所需的粘合劑和功能。”“攻擊者可以隨意連接到設(shè)備，獲取音頻和視頻，并使用遠(yuǎn)程API，然后做一些事情，如觸發(fā)固件更新，改變相機(jī)的平移角度，或重啟設(shè)備。而用戶卻不知道哪里出了問(wèn)題。”

 

缺陷在于設(shè)備與其移動(dòng)應(yīng)用程序之間的注冊(cè)機(jī)制。研究人員發(fā)現(xiàn)，這種最基本的連接取決于每個(gè)設(shè)備的“UID”，一個(gè)獨(dú)特的Kalay標(biāo)識(shí)符。攻擊者一旦掌握了設(shè)備的UID(瓦萊塔稱可以通過(guò)社會(huì)工程攻擊獲得)，或者通過(guò)搜索特定制造商的web漏洞——并且對(duì)Kalay協(xié)議有所了解的人可以重新注冊(cè)UID，并在下一次有人試圖合法訪問(wèn)目標(biāo)設(shè)備時(shí)劫持連接。用戶將會(huì)經(jīng)歷幾秒鐘的延遲，但是從他們的角度來(lái)看，一切都會(huì)正常進(jìn)行。

 

不過(guò)，攻擊者可以獲取每個(gè)制造商為其設(shè)備設(shè)置的特殊憑證——通常是一個(gè)隨機(jī)的、唯一的用戶名和口令。有了UID加上這個(gè)登錄憑證，攻擊者就可以通過(guò)Kalay遠(yuǎn)程控制設(shè)備，而不需要任何其他條件。攻擊者還可能利用對(duì)IP攝像頭等嵌入式設(shè)備的完全控制作為起點(diǎn)，深入滲透目標(biāo)的網(wǎng)絡(luò)。

 

通過(guò)利用該漏洞，攻擊者可以實(shí)時(shí)觀看視頻，可能會(huì)觀看敏感的安全視頻，或偷看嬰兒床內(nèi)部。他們可以通過(guò)關(guān)閉攝像頭或其他設(shè)備來(lái)發(fā)起拒絕服務(wù)攻擊?；蛘咚麄兛梢栽谀繕?biāo)設(shè)備上安裝惡意固件。此外，由于攻擊的工作原理是獲取憑證，然后使用Kalay遠(yuǎn)程管理嵌入式設(shè)備，因此受害者無(wú)法通過(guò)清除或重置他們的設(shè)備來(lái)獵殺入侵者。黑客們可以簡(jiǎn)單地反復(fù)發(fā)動(dòng)攻擊。

 

 

研究人員沒(méi)有公布Kalay協(xié)議分析的細(xì)節(jié)，也沒(méi)有公布如何利用該漏洞的細(xì)節(jié)。他們說(shuō)，他們還沒(méi)有看到現(xiàn)實(shí)世界中利用漏洞的證據(jù)，他們的目標(biāo)是提高人們對(duì)這個(gè)問(wèn)題的認(rèn)識(shí)，而不是給真正的攻擊者一個(gè)路線圖。Mandiant的研究人員建議制造商升級(jí)到這個(gè)版本或更高版本，并啟用兩種Kalay產(chǎn)品：加密通信協(xié)議DTLS和API認(rèn)證機(jī)制AuthKey。

 

瓦萊塔說(shuō):“我認(rèn)為隧道盡頭有光明，但我不確定是否每個(gè)人都要修補(bǔ)。”“我們已經(jīng)這樣做了多年，一次又一次地看到許多模式和各種漏洞。物聯(lián)網(wǎng)安全仍有很多方面需要迎頭趕上。”

 

Mandiant建議用戶升級(jí)他們的軟件，并采取額外措施，以降低漏洞被利用的風(fēng)險(xiǎn)。具體為建議確保物聯(lián)網(wǎng)設(shè)備制造商對(duì)用于獲取Kalay uid、用戶名和口令的web API實(shí)施嚴(yán)格控制，以減少攻擊者獲取遠(yuǎn)程訪問(wèn)設(shè)備所需的敏感信息的能力。無(wú)法保護(hù)返回有效Kalay uid的web API可能會(huì)讓攻擊者危及大量設(shè)備。

 

物聯(lián)網(wǎng)供應(yīng)連安全路漫漫

 

物聯(lián)網(wǎng)行業(yè)的安全問(wèn)題由來(lái)已久，單個(gè)漏洞往往會(huì)影響多個(gè)供應(yīng)商。“許多消費(fèi)者相信，他們放在家里的設(shè)備在默認(rèn)情況下是安全的，”曼迪昂特主動(dòng)服務(wù)總監(jiān)杰克·瓦萊塔(Jake Valletta)說(shuō)。“然而，我們的研究一再表明，安全不是那些實(shí)施物聯(lián)網(wǎng)設(shè)備和協(xié)議的優(yōu)先事項(xiàng)。”

 

這是數(shù)字時(shí)代物聯(lián)網(wǎng)設(shè)備漏洞爆發(fā)的最新例子。

 

2021年4月，智能電視和可穿戴設(shè)備等設(shè)備的軟件中還發(fā)現(xiàn)了24個(gè)漏洞。

 

2021年06月15日，CISA發(fā)布預(yù)警，數(shù)以百萬(wàn)計(jì)的聯(lián)網(wǎng)安全和家用攝像頭包含一個(gè)信息泄露漏洞(CVE-2021-32934)，其CVSS v3基本評(píng)分為9.1。該漏洞存在于ThroughTek的P2P SDK中。由于本地設(shè)備和ThroughTek 服務(wù)器之間明文傳輸數(shù)據(jù)，遠(yuǎn)程攻擊者可以通過(guò)利用此漏洞竊取敏感信息。時(shí)隔2月，同樣的廠商再現(xiàn)重磅漏洞。

 

2021年8月16日，固件安全公司IoT-Inspector爆出Realtek SDK的十多個(gè)漏洞——從命令注入到影響UPnP、HTTP(管理web界面)和Realtek定制網(wǎng)絡(luò)服務(wù)的內(nèi)存損壞。通過(guò)利用這些漏洞，遠(yuǎn)程未經(jīng)身份驗(yàn)證的攻擊者可以完全破壞目標(biāo)設(shè)備，并以最高權(quán)限執(zhí)行任意代碼。最終研究人員確定了至少65個(gè)不同的供應(yīng)商受這批漏洞影響，近200個(gè)型號(hào)的設(shè)備在影響之列。

 

這一系列物聯(lián)網(wǎng)軟件供應(yīng)鏈的重大漏洞披露事件，再次凸顯供應(yīng)鏈安全風(fēng)險(xiǎn)日趨嚴(yán)峻的態(tài)勢(shì)。

 

在物聯(lián)網(wǎng)設(shè)備上運(yùn)行的許多第三方軟件一樣，ThroughTek協(xié)議被集成到設(shè)備制造商和經(jīng)銷商中，因此很難辨別有多少設(shè)備可能受到該缺陷的影響。

 

參考資源

 

1、https://www.cyberscoop.com/iot-vulnerability-through-tek-baby-monitor/

 

2、https://us-cert.cisa.gov/ics/advisories/icsa-21-166-01

 

3、https://www.fireeye.com/blog/threat-research/2021/08/mandiant-discloses-critical-vulnerability-affecting-iot-devices.html

來(lái)源：網(wǎng)空閑話