安基網 首頁 資訊 安全報 查看內容

這個D-Link不愿修復的高危漏洞,影響面被嚴重低估了

2019-12-3 10:30| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 隨著網絡空間的規模和行動不斷擴大,其與日常生活日益交織。往往在網絡空間一起微小的安全事件可能帶來一連串“蝴蝶效應”,譬如去年全球最大的半導體代工制造商臺積電工廠意外“中毒”,造成工廠停工不說還連累了要發新品的蘋果,三天虧了10億。而這次煽動翅膀的是D-Link產品的一個漏洞。這個D-Link ...

隨著網絡空間的規模和行動不斷擴大,其與日常生活日益交織。往往在網絡空間一起微小的安全事件可能帶來一連串“蝴蝶效應”,譬如去年全球最大的半導體代工制造商臺積電工廠意外“中毒”,造成工廠停工不說還連累了要發新品的蘋果,三天虧了10億。而這次煽動翅膀的是D-Link產品的一個漏洞。

這個D-Link 不愿修復的高危漏洞

2019年9月,集成自動化網絡安全解決方案商Fortinet 的 FortiGuard Labs 發現并向官方反饋了 D-Link 產品中存在的一個未授權命令注入漏洞(FG-VD-19-117/CVE-2019-16920)。攻擊者可以利用該漏洞在設備上實現遠程代碼執行(RCE),且無需通過身份認證。該漏洞被標記為高危級別漏洞。

在 Fortinet 的報告中,受此漏洞影響的設備型號有 DIR-655C、DIR-866L、DIR-652 和 DHP-1565。

遺憾的是,D-Link 表示這些產品已超出服務周期(EOL),廠商不會再為該問題提供補丁,換句話說,D-Link不愿為這些產品修復這個補丁。

被嚴重低估的影響面

然而不久前,360安全研究院團隊對該漏洞進行了深入分析,提煉出漏洞識別模式后,通過自研的 FirmwareTotal 對全網二十多萬的固件進行全面掃描后,發現這個D-Link不愿修復的高危漏洞,影響面被嚴重低估了!

發現眾多疑似受漏洞影響的設備固件后,FirmwareTotal還能夠進一步批量動態模擬固件、自動化執行漏洞驗證POC,最終確認漏洞的存在:

最終經過360安全研究院團隊驗證,該漏洞背后的真相是,13個 D-Link 不同型號中的58個版本固件,都存在該漏洞。

在確認該安全問題后,360安全研究院團隊第一時間通報了廠商。日前D-Link已在安全通報中更新了漏洞影響范圍(https://supportannouncement.us.dlink.com/announcement/publication.aspx?name=SAP10124)。

這不是第一個,也不會是最后一個

類似D-Link這樣的事件,不是第一個,也不會是最后一個。

過去,360安全研究院團隊基于大規模固件數據做了很多的分析工作,發現第三方組件重復使用的問題在固件開發過程中非常普遍。

就如下圖所示,一個第三方的庫,常常被上千個固件所使用。這意味著一旦該庫文件出現安全問題,將會影響成千上萬的固件和相關設備。比如 openssl 的心臟滴血漏洞、 Busybox 的安全漏洞等。

大多數廠商都在他們的不同產品里共用類似的供應鏈代碼,包括在已結束生命周期的老設備和剛發布的新設備里,往往也使用著相似的代碼庫。

當安全問題出現時,如果只看到老設備已停止支持,就停止腳步,而不去進一步探究新設備是否還在使用這些代碼庫,將會帶來許多安全風險。

特別是在路由器產品之外的領域,比如自動駕駛汽車、智能醫療設備、關鍵基礎設施設備、工業控制設備等,一旦被黑客搶先一步發現類似的潛在缺陷,將會對正在運行中的大量關鍵設備造成重大威脅。

在上圖中是 2019 年 Busybox1.30.0 及之前版本存在的漏洞,包括 CVE-2019-5747和 CVE-2019-20679 等。有非常多的固件使用了Busybox組件,并且大部分使用的都是1.30.0之前的版本。經過360安全研究院團隊從數萬個固件樣本中統計,96%的固件都使用了1.30.0之前的版本。

這會導致各種類型的設備都受其影響,包括與GE醫療心電圖分析系統密切相關的串口設備服務器、智能樓宇的自動化控制系統設備、工控系統中的RTU控制器以及工業安全路由器等。

這本質上是一個信息不對稱帶來的重大安全威脅問題,通過FirmwareTotal則可以為廠商提供一種“看見的能力”,消除信息不對稱,以及解決其帶來的潛在威脅問題。



小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/a6765831729555964424/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
洗衣店赚钱联系澳洁 江西11选5今日开奖 多乐棋牌? 股票融资成本 微乐捉鸡麻将二丁拐技巧 欧冠排名积分榜2020 波克城市棋牌 股票期货平台 押龙虎十大技巧口诀 山东体彩11选五遗漏360 北京pk10前二8码万能码