这个D-Link不肯修复的高危破绽,影响面被严峻低估了! | 申博官网
登录
  • 欢迎进入申博官网!
  • 如果您觉得申博官网对你有帮助,那么赶紧使用Ctrl+D 收藏申博官网并分享出去吧
  • 这里是申博官方网!
  • 申博官网是菲律宾sunbet官网品牌平台!
  • 申博开户专业品牌平台!

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

申博_新闻事件 申博 25次浏览 已收录 0个评论

跟着网络空间的局限和行为不断扩大,其与一样平常生活日趋交错。每每在网络空间一同细小的平安事宜大概带来一连串“蝴蝶效应”,比方客岁环球最大的半导体代工制造商台积电工场不测“中毒”,形成工场歇工不说还连累了要发新品的苹果,三天亏了10亿。而此次怂恿翅膀的是D-Link产物的一个破绽。

这个D-Link 不肯修复的高危破绽

2019年9月,集成自动化网络平安处理方案商Fortinet 的 FortiGuard Labs 发明并向官方反应了 D-Link 产物中存在的一个未受权敕令注入破绽(FG-VD-19-117/CVE-2019-16920)。攻击者可以应用该破绽在装备上完成长途代码实行(RCE),且无需经由过程身份认证。该破绽被标记为高危级别破绽。

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

在 Fortinet 的报告中,受此破绽影响的装备型号有 DIR-655C、DIR-866L、DIR-652 和 DHP-1565。

遗憾的是,D-Link 示意这些产物已超越效劳周期(EOL),厂商不会再为该问题供应补丁,换句话说,D-Link不肯为这些产物修复这个补丁。

被严峻低估的影响面

但是不久前,360平安研究院团队对该破绽举行了深入剖析,提炼出破绽识别模式后,经由过程自研的 FirmwareTotal 对全网二十多万的固件举行周全扫描后,发明这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

发明浩瀚疑似受破绽影响的装备固件后,FirmwareTotal还可以进一步批量动态模仿固件、自动化实行破绽考证POC,终究确认破绽的存在:

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

终究经由360平安研究院团队考证,该破绽背地的原形是,13个 D-Link 差别型号中的58个版本固件,都存在该破绽。

型号

受影响版本

CVE-2019-13322 :Mi6浏览器RCE破绽

简介 在Pwn2own 2018上, F-Secure Labs研究人员证明了当用小米Mi6浏览器连接到攻击者控制的web页面后,小米Mi6浏览器会被攻击。 具体步骤如下: · 用户选择web页面、SMS消息或邮件中上的一个链接,链接回在小米浏览器应用中加载攻击者控制的web页面 · Web页面使用JS bridge技术自动下载HTML文件 · 使用可浏览视图来加载Market app · Market app通过视图中提供的URL加载webView,加载攻击者的另一个web页面 · Web页面使用另一个JS bridge函数来安装下载的apk文件 使用intent代理自动启动app 技术细节 初始的web页面:下载文件和触发Market APP 第一步要求受害者访问攻击者控制的网站,而且必须建议指向攻击者页面的链接。初始的web页面会执行2个动作。 首先,自动下载HTML文件。通过含有anchor元素的下载属性来自动下载再小米浏览器中

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

在确认该平安问题后,360平安研究院团队第一时间转达了厂商。日前D-Link已在平安转达中更新了破绽影响局限(https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10124)。

这不是第一个,也不会是末了一个

类似D-Link如许的事宜,不是第一个,也不会是末了一个。

过去,360平安研究院团队基于大局限固件数据做了很多的剖析事情,发明第三方组件重复运用的问题在固件开发过程当中异常广泛。

就如下图所示,一个第三方的库,经常被上千个固件所运用。这意味着一旦该库文件涌现平安问题,将会影响不计其数的固件和相干装备。比方 openssl 的心脏滴血破绽、 Busybox 的平安破绽等。

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

大多数厂商都在他们的差别产物里共用类似的供应链代码,包含在已完毕生命周期的老装备和刚宣布的新装备里,每每也运用着类似的代码库。

当平安问题涌现时,假如只看到老装备已住手支撑,就住手脚步,而不去进一步探讨新装备是不是还在运用这些代码库,将会带来很多平安风险。

特别是在路由器产物以外的范畴,比方自动驾驶汽车、智能医疗装备、症结基础设施装备、产业掌握装备等,一旦被黑客抢先一步发明类似的潜伏缺点,将会对正在运转中的大批症结装备形成严重要挟。

这个D-Link不肯修复的高危破绽,影响面被严峻低估了!

在上图中是 2019 年 Busybox1.30.0 及之前版本存在的破绽,包含 CVE-2019-5747和 CVE-2019-20679 等。有异常多的固件运用了Busybox组件,而且大部分运用的都是1.30.0之前的版本。经由360平安研究院团队从数万个固件样本中统计,96%的固件都运用了1.30.0之前的版本。

这会致使各种类型的装备都受其影响,包含与GE医疗心电图剖析体系密切相干的串口装备效劳器、智能楼宇的自动化掌握体系装备、工控体系中的RTU掌握器以及产业平安路由器等。

这本质上是一个信息不对称带来的严重平安要挟问题,经由过程FirmwareTotal则可认为厂商供应一种“瞥见的才能”,消弭信息不对称,以及处理其带来的潜伏要挟问题

原文地点: https://www.4hou.com/vulnerable/21926.html


申博|网络安全巴士站声明:该文看法仅代表作者自己,与本平台无关。版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明这个D-Link不肯修复的高危破绽,影响面被严峻低估了!
喜欢 (0)
[]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址