Phát hiện 25 lỗi bảo mật nghiêm trọng trên các thiết bị thông minh IoT

www.tuoitre.vn -   30/04/2021 12:00:00 181

Các chuyên gia nghiên cứu bảo mật Microsoft vừa tuyên bố phát hiện ra hơn hai chục lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng liên quan đến các thiết bị Internet of Things (IoT) và Operational Technology (OT) đang được sử dụng tương đối phổ biến hiện nay.

Phát hiện 25 lỗi bảo mậtnghiêm trọng trên các thiết bị thông minh IoT

25 lỗi bảo mật này được gọi chung là BadAlloc, và theo kết quả điều tra ban đầu, tất cả đều bắt nguồn từ sự trục trặc trong quy trình cấp phát bộ nhớ Integer Overflow hoặc Wraparound. Về lý thuyết, các tác nhân đe dọa có thể khai thác những lỗ hổng để gây ra ra các sự cố hệ thống và thậm chí thực thi mã độc hại từ xa trên các hệ thống IoT và OT dễ bị tấn công. Đây cũng là lý do tại sau chúng được được xếp hạng mức độ nghiêm trọng cao.

Nhóm chuyên gia nghiên cứu bảo mật của Microsoft đã tìm thấy 25 lỗ hổng BadAlloc này trong cụm các chức năng cấp phát bộ nhớ tiêu chuẩn được sử dụng rộng rãi trong nhiều hệ điều hành thời gian thực (RTOS), thư viện triển khai tiêu chuẩn C (libc) và bộ công cụ phát triển phần mềm nhúng (SDK).

"Nghiên cứu của chúng tôi cho thấy rằng nhiều quy trình triển khai cấp phát bộ nhớ được viết trong suốt nhiều năm qua như một phần của các thiết bị IoT và phần mềm nhúng đã gặp lỗi trong quá trình kết hợp các xác thực đầu vào phù hợp", đại diện đội ngũ Microsoft Security Response Center cho biết. "Nếu không có các xác thực đầu vào này, kẻ tấn công hoàn toàn có thể khai thác chức năng cấp phát bộ nhớ để thực hiện một sự cố tràn bộ đệm (heap overflow), dẫn đến việc thực thi mã độc hại từ xa trên thiết bị mục tiêu".

Phát hiện 25 lỗi bảo mậtnghiêm trọng trên các thiết bị thông minh IoT

Các thiết bị dễ bị tấn công BadAlloc

Đa số các thiết bị IoT và OT dễ bị ảnh hưởng bởi các lỗ hổng BadAlloc nêu trên hiện đang được sử dụng rộng rãi trong những lĩnh vực mạng tiêu dùng, y tế và công nghiệp.

Danh sách đầy đủ các thiết bị bị ảnh hưởng bởi BadAlloc bao gồm:

Amazon FreeRTOS, Phiên bản 10.4.1

Apache Nuttx OS, Phiên bản 9.1.0

ARM CMSIS-RTOS2, các phiên bản trước 2.1.3

ARM Mbed OS, phiên bản 6.3.0

ARM mbed-uallaoc, Phiên bản 1.3.0

Cesanta Software Mongoose OS, v2.17.0

eCosCentric eCosPro RTOS, Phiên bản 2.0.1 đến 4.5.3

Google Cloud IoT Device SDK, Phiên bản 1.0.2

Linux Zephyr RTOS, các phiên bản trước 2.4.0

Media Tek LinkIt SDK, các phiên bản trước 4.6.1

Micrium OS, Phiên bản 5.10.1 và trước đó

Micrium uCOS II/uCOS III Phiên bản 1.39.0 và trước đó

NXP MCUXpresso SDK, các phiên bản trước 2.8.2

NXP MQX, Phiên bản 5.1 trở về trước

Redhat newlib, các phiên bản trước 4.0.0

RIOT OS, Phiên bản 2020.01.1

Samsung Tizen RT RTOS, phiên bản trước 3.0.GBB

TencentOS-tiny, Phiên bản 3.1.0

Texas Instruments CC32XX, các phiên bản trước 4.40.00.07

Texas Instruments SimpleLink MSP432E4XX

Texas Instruments SimpleLink-CC13XX, các phiên bản trước 4.40.00

Texas Instruments SimpleLink-CC26XX, các phiên bản trước 4.40.00

Texas Instruments SimpleLink-CC32XX, các phiên bản trước 4.10.03

Uclibc-NG, các phiên bản trước 1.0.36

Windriver VxWorks, trước 7.0

Phát hiện 25 lỗi bảo mậtnghiêm trọng trên các thiết bị thông minh IoT

Để giảm thiểu rủi ro, các tổ chức đang sử dụng thiết bị dễ bị tấn công BadAlloc nên:

Áp dụng các bản cập nhật có sẵn của nhà cung cấp.

Giảm thiểu sự tiếp xúc với với mạng của tất cả các thiết bị hoặc hệ thống điều khiển, và đảm bảo rằng chúng không thể truy cập được từ Internet.

Xác định vị trí mạng hệ thống điều khiển và các thiết bị từ xa phía sau tường lửa, đồng thời cách ly chúng khỏi mạng doanh nghiệp.

Khi cần truy cập từ xa, hãy sử dụng các phương pháp bảo mật, chẳng hạn như mạng riêng ảo (VPN).

Nếu các thiết bị dễ bị tấn công không thể được vá ngay lập tức, Microsoft khuyến nghị:

Thu hẹp bề mặt tấn công bằng cách giảm thiểu hoặc loại bỏ sự tiếp xúc của các thiết bị dễ bị tấn công với mạng internet;

Thực hiện giám sát an ninh mạng để phát hiện các chỉ số hành vi xâm phạm;

Tăng cường phân đoạn mạng để bảo vệ các dữ liệu quan trọng.

Theo The HackerNews

TIN CÙNG CHUYÊN MỤC

Trẻ em tìm kiếm gì trên mạng trong năm 2...

11/06/2021 11:00:00 92
*Nghiên cứu mới về việc bảo đảm an toàn cho trẻ em trên mạng Kaspersky Safe Kids cho thấy những nội ...

Sinh viên đại học tại Singapore bắt đầu ...

11/06/2021 11:00:00 114
Công ty bảo mật toàn cầu Kaspersky mở rộng chương trình thực tập SafeBoard bao gồm nhiều vị trí trên...

TikTok âm thầm cập nhật chính sách bảo m...

09/06/2021 10:00:00 168
Mạng xã hội video đang phổ biến trên toàn cầu – TikTok vừa mới âm thầm cập nhật lại chính sách bảo m...

Kaspersky: Khi thanh toán không tiền mặt...

08/06/2021 10:00:00 122
Việt Nam đang tiến bước mạnh mẽ đến xã hội không tiền mặt khi nhiều cách thức thanh toán điện tử mới...

Google Chrome hỗ trợ người dùng nhận diệ...

07/06/2021 10:00:00 62
Google trong một phát biểu vào thứ Năm đã ra mắt một tính năng bảo mật mới trên trình duyệt web Goog...

1,3 tỷ tài khoản Facebook giả mạo đã bị ...

01/06/2021 10:00:00 299
Khi thông tin sai lệch tiếp tục tràn ngập trên các phương tiện truyền thông xã hội, Facebook tiết lộ...
Xem thêm

TAGS

LIÊN HỆ

Thông tin liên hệ