VietNetwork.Vn

Một phân tích bảo mật của nền tảng đám mây OvrC đã phát hiện ra 10 lỗ hổng có thể liên kết với nhau để cho phép kẻ tấn công tiềm năng thực thi mã từ xa trên các thiết bị được kết nối.

Nhà nghiên cứu Uri Katz của Claroty cho biết trong một báo cáo kỹ thuật: "Những kẻ tấn công khai thác thành công các lỗ hổng này có thể truy cập, kiểm soát và phá hoại các thiết bị được OvrC hỗ trợ; một số trong số đó bao gồm nguồn điện thông minh, camera, bộ định tuyến, hệ thống tự động hóa gia đình, v.v.".


OvrC của Snap One, phát âm là "oversee", được quảng cáo là "nền tảng hỗ trợ mang tính cách mạng" cho phép chủ nhà và doanh nghiệp quản lý, cấu hình và khắc phục sự cố các thiết bị IoT trên mạng từ xa. Theo trang web của mình, các giải pháp OvrC được triển khai tại hơn 500.000 địa điểm của người dùng cuối.

Theo khuyến cáo phối hợp do Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) ban hành, việc khai thác thành công các lỗ hổng đã xác định có thể cho phép kẻ tấn công "mạo danh và chiếm quyền sở hữu thiết bị, thực thi mã tùy ý và tiết lộ thông tin về thiết bị bị ảnh hưởng".

Các lỗ hổng này được phát hiện ảnh hưởng đến OvrC Pro và OvrC Connect, công ty sẽ phát hành bản sửa lỗi cho tám lỗ hổng vào tháng 5 năm 2023 và hai lỗ hổng còn lại vào ngày 12 tháng 11 năm 2024.

"Nhiều vấn đề trong số này mà chúng tôi phát hiện phát sinh từ việc bỏ qua giao diện thiết bị với đám mây", Katz cho biết. "Trong nhiều trường hợp này, vấn đề cốt lõi là khả năng yêu cầu chéo các thiết bị IoT do mã định danh yếu hoặc các lỗi tương tự. Các vấn đề này bao gồm kiểm soát truy cập yếu, bỏ qua xác thực, xác thực đầu vào không thành công, thông tin xác thực được mã hóa cứng và lỗi thực thi mã từ xa".

Do đó, kẻ tấn công từ xa có thể lợi dụng các lỗ hổng này để vượt qua tường lửa và truy cập trái phép vào giao diện quản lý dựa trên đám mây. Tệ hơn nữa, quyền truy cập sau đó có thể được sử dụng để liệt kê và lập hồ sơ thiết bị, chiếm đoạt thiết bị, nâng cao đặc quyền và thậm chí chạy mã tùy ý.


Những lỗi nghiêm trọng nhất được liệt kê dưới đây -

• CVE-2023-28649 (điểm CVSS v4: 9.2), cho phép kẻ tấn công mạo danh một trung tâm và chiếm đoạt thiết bị
• CVE-2023-31241 (điểm CVSS v4: 9.2), cho phép kẻ tấn công yêu cầu các thiết bị chưa được yêu cầu tùy ý bằng cách bỏ qua yêu cầu về số sê-ri
• CVE-2023-28386 (điểm CVSS v4: 9.2), cho phép kẻ tấn công tải lên các bản cập nhật chương trình cơ sở tùy ý dẫn đến thực thi mã
• CVE-2024-50381 (điểm CVSS v4: 9.1), cho phép kẻ tấn công mạo danh một trung tâm và hủy yêu cầu các thiết bị một cách tùy ý và sau đó khai thác các lỗ hổng khác để yêu cầu nó

"Với ngày càng nhiều thiết bị trực tuyến hơn và quản lý đám mây trở thành phương tiện chủ đạo để cấu hình và truy cập các dịch vụ, hơn bao giờ hết, động lực thúc đẩy các nhà sản xuất và nhà cung cấp dịch vụ đám mây bảo mật các thiết bị và kết nối này", Katz cho biết. "Những kết quả tiêu cực có thể ảnh hưởng đến nguồn điện được kết nối, bộ định tuyến doanh nghiệp, hệ thống tự động hóa gia đình và nhiều thứ khác được kết nối với đám mây OvrC".

Việc tiết lộ này diễn ra khi Nozomi Networks nêu chi tiết ba lỗ hổng bảo mật ảnh hưởng đến EmbedThis GoAhead, một máy chủ web nhỏ gọn được sử dụng trong các thiết bị nhúng và IoT, có thể dẫn đến từ chối dịch vụ (DoS) trong các điều kiện cụ thể. Các lỗ hổng (CVE-2024-3184, CVE-2024-3186 và CVE-2024-3187) đã được vá trong GoAhead phiên bản 6.0.1.

Trong những tháng gần đây, nhiều lỗ hổng bảo mật cũng đã được phát hiện trong Dịch vụ web exacqVision của Johnson Controls, có thể được kết hợp để kiểm soát luồng video từ camera giám sát được kết nối với ứng dụng và đánh cắp thông tin đăng nhập.