還記得前幾天 Avanti 自動售貨機出現(xiàn)漏洞，泄露大量用戶信息的事兒嗎？這才沒過多久，另外一個針對 IoT 設(shè)備的攻擊又出現(xiàn)了，這次中招的是開發(fā) IoT 設(shè)備的開源軟件開發(fā)庫，可能影響數(shù)百萬 IoT 設(shè)備。
安全研究員發(fā)現(xiàn)大量 IoT 設(shè)備開發(fā)者所使用的開源軟件開發(fā)庫 gSOAP 中出現(xiàn)了一個嚴重的遠程代碼執(zhí)行漏洞，可能會影響數(shù)百萬 IoT 設(shè)備。
gSOAP 是一個雙授權(quán)庫（可免費使用也可用于商業(yè)化目的），由 Genivia 公司開發(fā)并維護，其中 SOAP 是 Simple Object Access Protocol 的首字母縮寫，意為簡單對象訪問協(xié)議。gSOAP 是廣泛應(yīng)用于嵌入式設(shè)備固件開發(fā)的 C/C++ 庫。Genivia 在其官網(wǎng)表示， gSOAP 庫可以幫助廠商“開發(fā)符合業(yè)內(nèi)最新 XML、XML WebService、WSDL、SOAP、 REST, JSON, WS-Security 等標準的產(chǎn)品。”
IoT 安全公司 Senrio 的研究員最先在 gSOAP 中發(fā)現(xiàn)這個漏洞（編號 CVE-2017-9765 ），并將其命名為 “Devil’s Ivy”（綠蘿）。“綠蘿” 是一個堆棧緩沖區(qū)溢出漏洞，可允許黑客遠程攻擊（DOS 攻擊） SOAP Web 服務(wù)后臺程序，并在存在漏洞的設(shè)備上執(zhí)行任意代碼。
Senrio 表示，之所以將這個漏洞命名為“綠蘿”，是因為這個漏洞就像綠蘿一樣，很難殺死，而且通過代碼重用可以很快地蔓延。這個漏洞存在于下載量達上百萬的第三方工具包中，可以影響數(shù)百萬 IoT 設(shè)備，且很難清除。
主要攻擊 Axis 安全攝像頭
研究人員是在分析 Axis M3004安全攝像頭產(chǎn)品時，首次發(fā)現(xiàn)了 “綠蘿” 漏洞。“綠蘿” 攻擊過 Axis Communications （安訊士網(wǎng)絡(luò)通訊公司）開發(fā)的安全聯(lián)網(wǎng)攝像頭，下面的視頻就演示了整個攻擊過程。
利用“綠蘿”時，攻擊者可以遠程訪問一段視頻資料，或阻止原用戶訪問該視頻資料。
本來這個攝像頭主要用于安保，例如用于銀行大廳監(jiān)控等。如果被攻擊，會導(dǎo)致敏感信息泄露，或?qū)е卤O(jiān)控者無法及時發(fā)現(xiàn)或記錄犯罪行為，造成犯罪證據(jù)丟失。
研究人員利用逆向工具 IDA Pro ，檢測到了“綠蘿”的部分攻擊詳情：
漏洞影響與修復(fù)
Axis 公司承認其 252 款攝像頭產(chǎn)品中有 249 款都受到“綠蘿”漏洞影響，并在 6 月 6 日發(fā)布了升級固件用于修復(fù)漏洞。相關(guān)用戶應(yīng)當立即進行升級更新。
以下是完整攝像頭型號清單，用戶可以對照清單，確認自己的攝像頭型號并采取相應(yīng)修復(fù)措施。
漏洞爆發(fā)后， Axis 立刻向負責維護 gSOAP 的 Genivia 公司上報了這個漏洞，Genivia 隨后在 6 月 21 日發(fā)放了補丁，并聯(lián)系了 ONVIF ，將漏洞通告所有使用 gSOAP 的 ONVIF 會員（包括佳能、思科、西門子等），督促這些廠商盡快修復(fù)漏洞。ONVIF 全稱為開放網(wǎng)絡(luò)視頻接口論壇，是一個國際非營利組織，由一群硬件廠商自發(fā)組成，經(jīng)常發(fā)布 IT 技術(shù)及解決方案等。
盡管 Axis 在產(chǎn)品中修復(fù)了 “綠蘿” 漏洞，但研究人員仍然憂心忡忡，他們認為這個漏洞還可能影響其他 IoT 設(shè)備，因為佳能、西門子、思科、日立等很多大型廠商都使用 gSOAP 這個開發(fā)庫。而且，gSOAP 擁有龐大的 IoT 開發(fā)者用戶群體。Genivia 曾在官網(wǎng)宣稱，gSOAP 的下載量超過了 100 萬次。
發(fā)現(xiàn)漏洞的 Senrio 公司分析了自己所掌握的信息，發(fā)現(xiàn)約有 6% 的 NOVIF 會員使用 gSOAP 開發(fā)產(chǎn)品，Senrio 據(jù)此推斷，可能有數(shù)百萬設(shè)備會受到“綠蘿”的影響。
應(yīng)對關(guān)于 IoT 的攻擊
也許在生活中，我們所熟悉的聯(lián)網(wǎng)設(shè)備就是個人計算機和手機，但事實上，大到路口的紅綠燈，小到手腕上的可穿戴設(shè)備，都屬于 IoT 設(shè)備。IoT設(shè)備充斥著我們生活的方方面面，其安全問題不容忽視。
近些年來，IoT 設(shè)備漏洞頻發(fā)，可謂是網(wǎng)絡(luò)安全中最脆弱的一環(huán)。黑客往往利用 IoT 設(shè)備的漏洞，入侵安全網(wǎng)絡(luò)，進行更嚴重的破壞。檢測出“綠蘿”之后，Senrio 公司也針對 IoT 安全提出了一些建議：
1. 安全硬件設(shè)施不要連接公共網(wǎng)絡(luò)：7 月 1 日，一名蘇丹研究員表示，超過 14700 臺 Axis 球形監(jiān)控攝像頭出現(xiàn)漏洞，任何人都可訪問監(jiān)控視頻。事實上，所有存在“綠蘿”漏洞的攝像頭都很容易被利用。安全攝像頭這類設(shè)備都應(yīng)該連接到個人網(wǎng)絡(luò)，這樣才能降低被入侵的可能。
2. 盡可能地做好一切 IoT 安全防護措施：為 IoT 設(shè)備設(shè)置防火墻或使用 NAT （網(wǎng)絡(luò)地址轉(zhuǎn)換）技術(shù)，可以減少 IoT 設(shè)備的曝光程度，并提升威脅檢測指數(shù)。
3. 及時更新并打補丁：漏洞在所難免。出現(xiàn)漏后，用戶能做的就是在補丁發(fā)布的第一時間下載更新，及時修復(fù)。
對于廠商而言，加入像 ONVIF 這樣的團體可能大有益處。在這類團體中，不僅能實現(xiàn)快速應(yīng)急響應(yīng)和聯(lián)動，及時有效止損，還能實現(xiàn)更多技術(shù)交流和威脅情報互換，盡可能地減少安全風險。
| 
