广告

监控摄像头开源软件爆漏洞,百万设备面临被黑风险

时间:2017-07-20 作者:网络整理 阅读:
还记得前几天 Avanti 自动售货机出现漏洞,泄露大量用户信息的事儿吗?这才没过多久,另外一个针对 IoT 设备的攻击又出现了,这次中招的是开发 IoT 设备的开源软件开发库,可能影响数百万 IoT 设备。
广告

北京时间7月20日凌晨,重点关注物联网的安全公司Senrio的研究人员称,全球范围内以百万计算的联网设备可能会因一个普遍存在的漏洞而面临被黑的风险。

Senrio研究人员发现,使用一个名为“gSOAP”的开源代码的监控摄像头很容易被黑,并指出黑客可远程发送命令操控安装了这种摄像头的设备。研究人员在测试中利用这个漏洞接管了一个视频流,并进行了暂停视频录制和关闭摄像头的操作。Senrio表示,该公司有能力完全控制被黑的摄像头。
20170720-gSOAP-1
gSOAP 是一个双授权库(可免费使用也可用于商业化目的),由 Genivia 公司开发并维护,其中 SOAP 是 Simple Object Access Protocol 的首字母缩写,意为简单对象访问协议。gSOAP 是广泛应用于嵌入式设备固件开发的 C/C++ 库。Genivia 在其官网表示, gSOAP 库可以帮助厂商“开发符合业内最新 XML、XML WebService、WSDL、SOAP、 REST, JSON, WS-Security 等标准的产品。”

Senrio 的研究人员最先在 gSOAP 中发现这个漏洞(编号 CVE-2017-9765 ),并将这个零日漏洞命名为“Devil‘s Ivy”(魔鬼绿萝),原因是跟这种植物一样,该漏洞是很难被“杀死”的,而且正在迅速蔓延开来。“绿萝” 是一个堆栈缓冲区溢出漏洞,可允许黑客远程攻击(DOS 攻击) SOAP Web 服务后台程序,并在存在漏洞的设备上执行任意代码。

主要攻击 Axis 安全摄像头

Senrio周二称,该公司是在对Axis M3004安全摄像头进行研究时发现了这个漏洞的。“绿萝” 攻击过 Axis Communications (安讯士网络通讯公司)开发的安全联网摄像头,下面是整个攻击过程视频。


利用“绿萝”时,攻击者可以远程访问一段视频资料,或阻止原用户访问该视频资料。

本来这个摄像头主要用于安保,例如用于银行大厅监控等。如果被攻击,会导致敏感信息泄露,或导致监控者无法及时发现或记录犯罪行为,造成犯罪证据丢失。

研究人员利用逆向工具 IDA Pro ,检测到了“绿萝”的部分攻击详情:
20170720-gSOAP-2
漏洞影响与修复

Axis是最大的互联摄像头生产商之一,在全球范围内提供监控产品,其中包括为洛杉矶机场提供所有监控摄像头等。

物联网设备可为其所有者提供便利,原因是其在线联网功能可为旧有设备带来新的用户,但这种设备存在着安全问题。美国联邦调查局(FBI)在周二发出了有关联网玩具的警告,称其担心这些玩具可能被黑。

Senrio称,研究人员发现249种型号的Axis摄像头存在这个漏洞,Axis 公司也承认,并在 6 月 6 日发布了升级固件用于修复漏洞。相关用户应当立即进行升级更新。另外还有其他34家公司也都受到了影响,发现漏洞的 Senrio 公司分析了自己所掌握的信息,发现约有 6% 的 NOVIF 会员使用 gSOAP 开发产品,Senrio 据此推断,可能有数百万设备会受到“绿萝”的影响。
20170720-gSOAP-5
漏洞爆发后, Axis 立刻向负责维护 gSOAP 的 Genivia 公司上报了这个漏洞,Genivia 随后在 6 月 21 日发放了补丁),并联系了 ONVIF ,将漏洞通告所有使用 gSOAP 的 ONVIF 会员(包括佳能、思科、西门子等),督促这些厂商尽快修复漏洞。ONVIF 全称为开放网络视频接口论坛,是一个国际非营利组织,由一群硬件厂商自发组成,经常发布 IT 技术及解决方案等。

尽管 Axis 在产品中修复了 “绿萝” 漏洞,但研究人员仍然忧心忡忡,他们认为这个漏洞还可能影响其他 IoT 设备,因为佳能、西门子、思科、日立等很多大型厂商都使用 gSOAP 这个开发库。而且,gSOAP 拥有庞大的 IoT 开发者用户群体。Genivia 曾在官网宣称,gSOAP 的下载量超过了 100 万次。

以下是完整摄像头型号清单,用户可以对照清单,确认自己的摄像头型号并采取相应修复措施。
20170720-gSOAP-3
20170720-gSOAP-4
本文综合自新浪科技、FreeBuf报道

EETC wechat barcode


关注最前沿的电子设计资讯,请关注“电子工程专辑微信公众号”。

 

本文为EET电子工程专辑 原创文章,禁止转载。请尊重知识产权,违者本司保留追究责任的权利。
  • 摩擦起电会是能量采集的下一个来源吗? 我们为何不持续寻找一种新的能量采集方式?因为它通常是免费的(忽略前期成本)、方便,并解决了许多实际的安装/更换问题。但是在能量达到可以采集之前,电子和负载方面有两个前端问题需要解决…
  • 康佳发布全球首款Micro LED手表,与其他LED显示屏比量产 全球首款MicroLED手表APHAEA Watch,搭载2英寸P0.12主动式低温多晶硅(AM-LTPS)Micro LED微晶屏,点间距缩小至0.12mm。该屏幕芯片尺寸小于30um,是一块真正意义上的Micro LED屏幕,具备百万级超高对比度度和高达1500nits的屏幕亮度……
  • 传微软自研Arm处理器,用于服务器和Surface设备 微软正在为服务器设计自己的Arm处理器,未来还可能发布搭载该处理器的Surface设备。目的在于在最重要的硬件方面自给自足,减少对英特尔(intel)的依赖。微软认为自己的处理器更适合他们的某些需求,与英特尔提供的现成处理器相比,更具有成本和性能优势,性价比更高。
  • 地平线计划C轮融资总额超7亿美金,已完成C1轮融资 2020年12月22日,地平线公告已启动总额预计超过7亿美金的C轮融资,目前已完成由五源资本(原晨兴资本)、高瓴创投、今日资本联合领投的C1轮1.5亿美金融资,参与本轮融资的其他机构包括……
  • 苹果汽车明年9月只能发布PPT?芯片/电池/激光雷达都没准 中国台湾供应链厂商高管透露,传言已久的苹果电动汽车(Apple Car)将提前至少两年,有望于2021年第三季度发布,而相关组件则最早将在明年第二季度开始生产。据报道,目前苹果已开始向零组件供应商催货,但其最重要的几个电子零部件还远远没达到量产的程度,苹果真的能在2021年9月发布其汽车产品吗?
  • ICCAD 2020:芯片IP客户圈即生态圈,各家玩法不尽相同 根据市场分析公司IPnest发布的2019年全球半导体IP厂商的营收排名,进入前十大IP厂商中的中国大陆厂商,仅排名第7的芯原股份一家,市占率为1.8%。而且中国公司在高端CPU的 IP 核上处于空白状态,国产化的需求仍然迫切。
广告
热门推荐
广告
广告
广告
EE直播间
在线研讨会
广告
广告
面包芯语
广告
向右滑动:上一篇 向左滑动:下一篇 我知道了