Kullanıcıların bir mobil uygulama aracılığıyla takılı olan her şeyi uzaktan kontrol etmelerine olanak tanıyan Wemo Mini Smart Plug V2, siber saldırganların çeşitli kötü sonuçlara geçiş yapmasına olanak tanıyan bir güvenlik açığına sahiptir. Elektronik cihazların uzaktan açılıp kapatılması ve dahili bir ağa daha derine inme veya ek cihazlara atlama potansiyeli bunlara dahildir.
Tüketiciler ve benzer şekilde işletmeler tarafından kullanılan Akıllı Fiş, mevcut bir prize takılır ve Evrensel Tak-Çalıştır (UPNP) bağlantı noktalarını kullanarak dahili bir Wi-Fi ağına ve daha geniş İnternet'e bağlanır. Kullanıcılar daha sonra cihazı bir mobil uygulama aracılığıyla kontrol edebilir ve bu da esasen eski usul lambaları, fanları ve diğer yardımcı öğeleri "akıllı" hale getirmenin bir yolunu sunar. Uygulama Alexa, Google Asistan ve Apple Home Kit ile entegre olurken kolaylık sağlamak için planlama gibi ek özellikler sunar.
Kusur (CVE-2023-27217) bir arabellek taşması güvenlik açığı Sternum'da onu keşfeden araştırmacılara göre, cihazın F7C063 modelini etkileyen ve uzaktan komut enjeksiyonuna izin veren bu. Ne yazık ki, bir düzeltme için cihaz üreticisi Belkin'e başvurduklarında, cihazın kullanım ömrünün sonuna geldiği için herhangi bir üretici yazılımı güncellemesinin gelmeyeceği söylendi.
"Bu arada, bu cihazların birçoğunun hala vahşi doğada konuşlandırıldığını varsaymak güvenlidir" bir analizde açıkladı Smart Plug'ın Amazon'daki 16 incelemesine ve dört yıldızlı derecelendirmesine atıfta bulunarak 17,000 Mayıs'ta. "Sadece Amazon'daki toplam satışların yüz binlerce olması gerekir."
Sternum'un pazarlamadan sorumlu başkan yardımcısı Igal Zeifman, Dark Reading'e bunun saldırı yüzeyi için düşük bir tahmin olduğunu söylüyor. "Bu bizim çok muhafazakar olmamız," diye belirtiyor. "Araştırma başladığında sadece laboratuvarımızda üç tane vardı. Bunlar artık fişten çekildi.”
"İşletmeler ağlarında Wemo Eklentisinin bu sürümünü kullanıyorsa, durmalı veya (en azından) Evrensel Tak-Çalıştır (UPNP) bağlantı noktalarının uzaktan erişime açık olmadığından emin olmalıdır. Bu cihaz kritik bir rol oynuyorsa veya kritik bir ağa veya varlığa bağlıysa, pek iyi durumda değilsiniz.”
CVE-2023-27217: Bir Adın İçinde Neler Var?
Hata, bellenimin Akıllı Fişin adlandırılmasını işleme biçiminde mevcuttur. "Wemo mini 6E9", kutudan çıkar çıkmaz cihazın varsayılan adı olsa da, kullanıcılar aygıt yazılımında "FriendlyName" değişkeni olarak belirlenmiş olanı kullanarak, örneğin "mutfak prizi" veya benzeri bir şey kullanarak cihazı istedikleri gibi yeniden adlandırabilirler.
Sternum araştırmacıları, "Kullanıcı girişi için bu seçenek, özellikle uygulamada adı değiştirmenin bazı korkuluklarla [özellikle 30 karakterlik bir sınır] geldiğini gördüğümüzde, Spidey duyularımızı zaten karıncalandırdı." "Bizim için bu hemen iki soruyu gündeme getirdi: 'Kim söylüyor?' ve '30 karakterden fazlasını yapmayı başarırsak ne olur?'”
Mobil uygulama, 30 karakterden uzun bir ad oluşturmalarına izin vermeyince, WeMo cihazlarının keşfi ve kontrolü için açık kaynaklı bir Python modülü olan pyWeMo aracılığıyla doğrudan cihaza bağlanmaya karar verdiler. Uygulamayı atlatmanın, daha uzun bir adı başarılı bir şekilde girmek için korkuluğun etrafından dolaşmalarına izin verdiğini gördüler.
"Kısıtlama, üretici yazılımı kodu tarafından değil, yalnızca uygulamanın kendisi tarafından uygulandı" dediler. "Bunun gibi girdi doğrulaması yalnızca 'yüzey' düzeyinde yönetilmemelidir."
Fazla doldurulmuş 'FriendlyName' değişkeninin bellek yapısı tarafından nasıl ele alındığını gözlemleyen araştırmacılar, yığının meta verilerinin 80 karakterden uzun herhangi bir adla bozulduğunu gördüler. Bu bozuk değerler daha sonra sonraki yığın işlemlerinde kullanılıyordu ve bu da kısa çökmelere yol açıyordu. Analize göre bu, arabellek taşmasına ve sonuçta ortaya çıkan bellek yeniden tahsisini kontrol etme yeteneğine neden oldu.
Zeifman, "Bugün cihazların %99.9'unu oluşturan, herhangi bir cihaz üstü güvenlik olmadan bağlı cihazları kullanma riski hakkında iyi bir uyarı" diyor.
Kolay İstismara Dikkat Edin
Sternum, bir kavram kanıtı istismarı yayınlamıyor veya gerçek dünyadaki bir saldırı akışının pratikte nasıl görüneceğini listelemiyor olsa da Zeifman, güvenlik açığından yararlanmanın zor olmadığını söylüyor. Aygıt Internet'e açıksa, saldırganın ağ erişimine veya uzaktan Evrensel Tak-Çalıştır erişimine ihtiyacı olacaktır.
"Bunun dışında, çalıştırılabilir yığını olan bir aygıtta önemsiz bir arabellek taşması var," diye açıklıyor. "Daha sert burçlar yıkıldı."
Saldırıların Wemo'nun bulut altyapı seçeneği üzerinden de gerçekleştirilebileceğini kaydetti.
Zeifman, "Wemo ürünleri ayrıca, ağ adresi geçişini (NAT) atlatmak ve mobil uygulamanın prizi İnternet üzerinden çalıştırmasını sağlamak için tasarlanmış bir bulut protokolü (temelde bir STUN tüneli) uyguluyor" diyor. "Wemo'nun bulut protokolünü çok derinlemesine incelememiş olsak da, bu saldırının da bu şekilde uygulanabilmesi bizi şaşırtmaz."
Bir yamanın olmaması durumunda, cihaz kullanıcılarının alabilecekleri bazı önlemler vardır; örneğin, Akıllı Fiş İnternet'e açık olmadığı sürece, saldırganın aynı ağa erişim elde etmesi gerekir, bu da istismarı daha karmaşık hale getirir.
Sternum, aşağıdaki sağduyu tavsiyelerini detaylandırdı:
- Wemo Smart Plug V2 UPNP bağlantı noktalarını doğrudan veya bağlantı noktası iletme yoluyla İnternet'e maruz bırakmaktan kaçının.
- Smart Plug V2'yi hassas bir ağda kullanıyorsanız, bunun doğru şekilde bölümlere ayrıldığından ve bu cihazın aynı alt ağdaki diğer hassas cihazlarla iletişim kuramayacağından emin olmalısınız.
IoT Güvenliği Gecikmeye Devam Ediyor
Araştırmadan daha geniş çıkarımlar söz konusu olduğunda, bulgular Nesnelerin İnterneti (IoT) tedarikçilerinin hala tasarım gereği güvenlikle mücadele ediyor — herhangi bir akıllı cihazı kurarken hangi kuruluşların dikkate alması gerektiği.
Zeifman, "Bence bu hikayenin kilit noktası şu: Cihazlar herhangi bir cihaz içi koruma olmadan gönderildiğinde olan şey budur" diye belirtiyor. “Eğer sadece güvenirsen duyarlı güvenlik düzeltme eki, bugün çoğu cihaz üreticisinin yaptığı gibi, kesin olan iki şey var. Bir, her zaman saldırganın bir adım arkasında olacaksın; ve iki, bir gün bu yamalar gelmeyi bırakacak.”
IoT cihazları, "masaüstü bilgisayarlarımız, dizüstü bilgisayarlarımız, sunucularımız vb. diğer varlıkların sahip olmasını beklediğimiz aynı düzeyde uç nokta güvenliği" ile donatılmalıdır, diyor. "Kalp monitörünüz oyun dizüstü bilgisayarından daha az güvenliyse, bir şeyler korkunç derecede ters gitti ve gitti."
- SEO Destekli İçerik ve Halkla İlişkiler Dağıtımı. Bugün Gücünüzü Artırın.
- PlatoAiStream. Web3 Veri Zekası. Bilgi Genişletildi. Buradan Erişin.
- Adryenn Ashley ile Geleceği Basmak. Buradan Erişin.
- PREIPO® ile PRE-IPO Şirketlerinde Hisse Al ve Sat. Buradan Erişin.
- Kaynak: https://www.darkreading.com/ics-ot/belkins-wemo-smart-plug-opens-networks-cyberattacks
- :vardır
- :dır-dir
- :olumsuzluk
- 000
- 17
- 30
- 7
- a
- kabiliyet
- Hakkımızda
- erişim
- Göre
- Hesap
- Ek
- adres
- Ekler
- Alexa
- benzer
- izin vermek
- veriyor
- tek başına
- zaten
- Ayrıca
- her zaman
- Amazon
- an
- analiz
- ve
- herhangi
- bir şey
- uygulamayı yükleyeceğiz
- Apple
- ARE
- etrafında
- AS
- varlık
- Varlıklar
- Asistan
- At
- saldırı
- saldırılar
- Kötü
- temel olarak
- BE
- arkasında
- olmak
- kutu
- Daha geniş
- tampon
- arabellek taşması
- Böcek
- işletmeler
- by
- çağrı
- geldi
- CAN
- yapamam
- belli
- değiştirme
- karakterler
- bulut
- bulut altyapısı
- kod
- gelecek
- iletişim kurmak
- karmaşık
- Sosyal medya
- bağlı
- bağlanır
- muhafazakâr
- Tüketiciler
- devam ediyor
- kontrol
- kolaylık
- bozuk
- olabilir
- yaratmak
- kritik
- cyberattacks
- karanlık
- karanlık okuma
- gün
- karar
- derin
- Varsayılan
- konuşlandırılmış
- belirlenen
- detaylı
- cihaz
- Cihaz
- zor
- direkt olarak
- keşfetti
- keşif
- do
- kolay
- ya
- Elektronik
- Son nokta
- Uç nokta güvenliği
- sağlamak
- donanımlı
- özellikle
- esasen
- tahmin
- vb
- örnek
- mevcut
- var
- beklemek
- açıklar
- sömürmek
- istismar
- maruz
- gerçek
- Düşmüş
- fanlar
- uzak
- Özellikler
- bulgular
- sabit
- kusur
- akış
- takip etme
- İçin
- önümüzdeki
- bulundu
- itibaren
- kumar
- almak
- Tercih Etmenizin
- harika
- vardı
- Kolları
- olur
- Var
- he
- Network XNUMX'in Kalbi
- Ana Sayfa
- Ne kadar
- HTTPS
- Yüzlerce
- i
- if
- hemen
- uygulamak
- uygulanan
- in
- dahil
- Altyapı
- giriş
- yükleme
- örnek
- Entegre
- iç
- Internet
- bir şeylerin interneti
- içine
- IOT
- degil
- IT
- ürün
- kendisi
- sadece
- anahtar
- laboratuvar
- dizüstü bilgisayar
- dizüstü bilgisayarlar
- önemli
- en az
- az
- seviye
- sevmek
- Muhtemelen
- LİMİT
- Uzun
- uzun
- Bakın
- gibi görünmek
- Düşük
- yapmak
- yapıcı
- YAPAR
- yönetmek
- yönetilen
- Üreticiler
- çok
- Pazarlama
- maksimum genişlik
- Mayıs..
- demek
- Bu arada
- Bellek
- Metadata
- Telefon
- Mobil uygulama
- model
- modül
- izlemek
- Daha
- çoğu
- hareketli
- isim
- adlandırma
- gerek
- ağ
- ağlar
- yok hayır
- ünlü
- notlar
- şimdi
- elde etmek
- of
- kapalı
- teklif
- on
- ONE
- bir tek
- açık
- açık kaynak
- açılır
- işletmek
- Operasyon
- seçenek
- or
- sipariş
- organizasyonlar
- Diğer
- bizim
- dışarı
- sonuçlar
- dışında
- Patch
- Yamalar
- Platon
- Plato Veri Zekası
- PlatoVeri
- çalış
- fiş
- tıkalı
- fişe takmak
- Nokta
- potansiyel
- uygulama
- başkan
- Ürünler
- uygun şekilde
- koruma
- protokol
- Python
- Sorular
- yükseltilmiş
- değerlendirme
- Okuma
- Gerçek dünya
- tavsiyeler
- düzenli
- güvenmek
- uzak
- uzaktan erişim
- araştırma
- Araştırmacılar
- kısıtlama
- Ortaya çıkan
- Yorumları
- Risk
- Rol
- s
- güvenli
- satış
- aynı
- diyor
- çizelgeleme
- güvenli
- güvenlik
- güvenlik açığı
- hassas
- Sunucular
- Shape
- sevk
- kısa
- meli
- vitrin
- benzer
- beri
- akıllı
- biraz
- bir şey
- özellikle
- başladı
- adım
- Yine
- dur
- Öykü
- yapı
- Mücadele
- alt
- sonraki
- Başarılı olarak
- böyle
- yüzey
- şaşırmış
- anahtar
- Bizi daha iyi tanımak için
- Takeaways
- Dağılmış
- anlatır
- göre
- o
- The
- ve bazı Asya
- Onları
- sonra
- Bunlar
- onlar
- işler
- düşünmek
- Re-Tweet
- Bu
- Binlerce
- üç
- İçinden
- için
- bugün
- çok
- Toplam
- Dönüş
- döner
- iki
- ne yazık ki
- Evrensel
- takılı
- Güncelleme
- us
- Kullanılmış
- kullanıcı
- kullanıcılar
- kullanma
- yarar
- onaylama
- Değerler
- çeşitlilik
- satıcıları
- versiyon
- çok
- üzerinden
- Başkan Yardımcısı
- güvenlik açığı
- oldu
- Yol..
- we
- İYİ
- vardı
- Ne
- ne zaman
- hangi
- süre
- DSÖ
- Wi-fi
- Vahşi
- irade
- ile
- olmadan
- olur
- Yanlış
- Sen
- zefirnet