freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

青莲晚报(第三十六期)| 物联网安全多知道
2019-01-25 10:53:38

成千上万的智能浴缸容易受到远程攻击

薄弱的安全措施使得一些物联网设备很容易受到黑客攻击和各种网络攻击。根据总部位于英国白金汉郡的安全组织Pen Test Partners的研究,仅仅使用一款APP就可以入侵智能浴缸。原因很简单,这款APP没有任何认证过程。

可用来实现这一切的软件被称为“Balboa Water App”,这款APP通过Wi-Fi与智能浴缸连接在一起,而问题就在于它无法正确验证用户是否具有访问权限。

此外,这款APP还缺乏必要的安全措施,使得黑客可以在接收端识别智能浴缸的地理位置。在测试过程中,Pen Test Partners的研究人员就利用该APP认证过程中的漏洞对附近的智能浴缸进行了定位。

据报道,目前约有2.6万个智能浴缸很容易受到黑客攻击,进而被远程控制。任何人都可以通过黑客数据库wigle[.]net所包含的GPS位置数据来搜索这些浴缸,进而实施黑客攻击。

利用这个漏洞,黑客可以轻而易举地进入智能浴缸系统,增加或降低设定的温度,进而导致浴缸无法正常使用。如果浴缸持续加热,则浪费大量的电能。此外,由于鼓风机只有在用户使用浴缸时才会被激活,因此黑客能够以此掌握用户何时进入浴缸,从而操控温度或水泵的开/关。

详文阅读:

https://www.hackeye.net/threatintelligence/18546.aspx


广泛使用的建筑物门禁系统很容易受到损害

位研究人员在PremiSys IDenticard构建访问管理系统中发现了几个令人震惊的漏洞,其中一些漏洞可能允许攻击者控制易受攻击的系统,创建恶意访问徽章等等。

软件版本3.1.190中存在漏洞,目前尚不清楚它们是否已被修复,因为Brady公司(IDenticard的母公司)尚未就此启示发表评论。

• CVE-2019-3906 - 通过PremiSys Windows Communication Foundation(WCF)服务端点为管理员提供对整个服务的访问权限的硬编码凭据

• CVE-2019-3907 - 存储的用户凭据和其他敏感信息的加密很弱

• CVE-2019-3908 - 系统备份存储在受密码保护的文件中,可以使用硬编码密码解压缩(“ID3nt1card”)

• CVE-2019-3909 - 默认数据库用户名和密码(“PremisysUsr”/“ID3nt1card”)。

“大多数人都没有意识到许多公司依赖第三方来安装和维护他们的徽章系统,”Sebree 解释了危险。

“这些第三方安装具有默认设置的系统并离开时,这种情况并不少见,只是在几个月后才能收取更新费用。这是优先事项变得歪曲的地方。访问控制供应商生产第三方为客户安装的软件。客户使用他们需要的东西,同时保留许多未使用但仍然启用的功能。这导致关键物理安全基础设施的不必要的网络暴露,以及可能进入数字基础设施的入口点。“

详文阅读:

https://www.helpnetsecurity.com/2019/01/15/building-access-system-compromised/


新型恶意软件可卸载腾讯和阿里云安全产品

研究人员发现了一个恶意软件家族,其独特之处在于——可通过卸载云安全产品,获得目标系统的管理员权限。最新的恶意软件样本展示了一项功能,该功能部署了一种前所未见的技巧:它们可以卸载云工作负载保护平台,这是一种针对公共云基础设施的基于代理的安全保护解决方案。其中包括阿里巴巴威胁检测服务代理、阿里巴巴云监测代理、阿里巴巴云助手代理;以及腾讯主机安全代理和腾讯云监控代理。腾讯云和阿里巴巴云官方网站提供文档,指导用户卸载云安全产品。研究人员表示,Rocke group使用的新恶意软件样本似乎遵循了这些官方卸载程序。

详文阅读:

https://www.hackeye.net/threatintelligence/18710.aspx


RF工业设备可用无人机轻松入侵

广泛应用于起重机等工业设备控制的无线电射频(RF)工具比普通家用车库门还容易被黑,工厂工地蒙受生产破坏、系统控制和未授权访问的风险。

研究人员发现,滥用RF传输器和接收器的脆弱安全功能就能中断或接管工业重型机械的操作。

研究人员称,采用RF的典型工业控制器很容易陷入指令欺骗,攻击者可以捕获RF流量,选择性修改数据包,自动编造任意指令。

攻击者完全可以扮做路人进入工地范围,藏起硬币大小的无线电收器,再远程构造信号数据包,控制其中工业机械或者持续模拟故障情况。

研究团队将不难组装的定制设备RFQuack放入工地,收集信号数据包,并逆向工程出工业设备遥控器所用协议,由此获得了现场工业设备的完全控制权。

通过录制现场传输的RF信号包,研究团队得以将自己的指令注入RF信号,让接收器当成真实指令读取并遵照执行。这一操作甚至能借助无人机在更安全的距离上实施。

详文阅读:

https://www.360zhijia.com/anquan/441078.html


思科修复了SD-WAN,Webex,Small Business路由器中的安全漏洞

思科SD-WAN漏洞修复的缺陷中最关键的是缓冲区溢出漏洞(CVE-2019-1651)和高风险的未授权访问漏洞(CVE-2019-1647),影响运行Cisco SD-WAN解决方案版本的任何Cisco vSmart控制器软件版本在18.4.0之前。

可以通过向受影响的Cisco SD-WAN解决方案的vContainer实例发送恶意文件来利用CVE-2019-1651,以触发可用于以root用户身份执行任意代码的DoS条件。

攻击者可能滥用CVE-2019-1647直接连接到公开的服务,直接未经授权访问vSmart容器,以及检索和修改关键系统文件。

客户无法下载和部署软件以堵塞这些漏洞,因为它们仅影响思科SD-WAN解决方案的思科托管vContainer。他们必须与思科支持联系人联系,以确保部署软件修复程序。

额外的高风险权限升级和文件覆盖漏洞(CVE-2019-1646,CVE-2019-1648,CVE-2019-1650)会影响运行18.4.0之前的思科SD-WAN解决方案版本的各种思科产品。客户可以而且应该下载并应用这些提供的安全更新。

详文阅读:

https://www.helpnetsecurity.com/2019/01/24/cisco-sd-wan-vulnerabilities/


# IoT安全 # 青莲云 # 工业互联网安全
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者