【CVE-2021-28372】Kalay云平台曝严重漏洞,数百万物联网设备面临攻击风险

华盟原创文章投稿奖励计划

国外安全团队FireEye Mandiant的研究人员在 Kalay 云平台中发现了一个严重漏洞,该漏洞使数百万物联网设备面临黑客攻击可能。

漏洞被编号为 CVE-2021-28372,影响了Kalay云平台的一个核心组件黑客可以利用该漏洞很容易的攻击并接管物联网设备,黑客只需要获取目标用户的 Kalay 唯一标识符 (UID),就可以远程破坏与或者该UID相对应的设备权限。然而,这个UID标识符通过社工就可以获得。

获得目标设备 UID 的攻击者可以向 Kalay 网络发送特制的请求,以在网络上注册具有相同 UID 的另一台设备。然后 Kalay 服务器将覆盖现有设备。一旦受害者连接设备,他的连接将被定向到攻击者,攻击者可以获得受害者用来访问设备的凭据。

使用Kalay 云平台的用户多为网络摄像机、婴儿监视器等视频监控产品,黑客一旦成功便可以轻而易举的获取这些摄像设备的权限。不仅如此,黑客还可以使用RPC(远程过程调用)功能来完全接管设备。

开发云物联网平台的公司 ThroughTek 已发布 SDK 更新以解决该漏洞。该公司建议其客户启用 AuthKey 和 DTLS。

“我们建议客户立即采取以下步骤之一:

如果使用ThroughTek SDK v3.1.10及以上,请开启AuthKey和DTLS;

如果使用v3.1.10之前的旧版本ThroughTek SDK,请将库升级到v3.3.1.0或v3.4.2.0,并启用AuthKey和DTLS。”

“CVE-2021-28372 对最终用户的安全和隐私构成巨大风险,应适当缓解。不受保护的设备,例如物联网摄像头,可以通过访问 UID 远程受到损害,并且可能会根据设备暴露的功能进行进一步的攻击。” 

华盟知识星球入口

本原创,作者:张,其版权均为华盟网所有。如需转载,请注明出处:https://www.77169.net/kx/283546.html