Lỗ hổng nền tảng OvrC khiến các thiết bị IoT bị tấn công từ xa và thực thi mã

Một phân tích bảo mật của nền tảng đám mây OvrC đã phát hiện ra 10 lỗ hổng có thể bị xâu chuỗi để cho phép kẻ tấn công thực thi mã từ xa trên các thiết bị được kết nối.

Những kẻ tấn công khai thác thành công các lỗ hổng này có thể truy cập, kiểm soát và phá hoại các thiết bị được OvrC hỗ trợ; một số trong số đó bao gồm nguồn điện thông minh, máy ảnh, bộ định tuyến.

OvrC của Snap One, cho phép hộ gia đình và doanh nghiệp quản lý, cấu hình và khắc phục sự cố từ xa các thiết bị IoT trên mạng. Việc khai thác thành công các lỗ hổng đã xác định có thể cho phép kẻ tấn công mạo danh và yêu cầu thiết bị, thực thi mã tùy ý và tiết lộ thông tin về thiết bị bị ảnh hưởng. Các lỗ hổng đã được phát hiện ảnh hưởng đến OvrC Pro và OvrC Connect, với việc công ty phát hành các bản sửa lỗi cho tám trong số đó vào tháng 5 năm 2023 và hai lỗ hổng còn lại vào ngày 12 tháng 11 năm 2024.

Nhiều vấn đề trong số này phát sinh từ việc bỏ qua giao diện giữa thiết bị cloud. Trong nhiều trường hợp, vấn đề cốt lõi là khả năng xác nhận chéo các thiết bị IoT do nhận dạng kém hoặc các lỗi tương tự. Những vấn đề này bao gồm kiểm soát truy cập yếu, bỏ qua xác thực, xác thực đầu vào không thành công, thông tin xác thực được mã hóa cứng và lỗi thực thi mã từ xa. Do đó, kẻ tấn công từ xa có thể lạm dụng các lỗ hổng này để vượt qua tường lửa và truy cập trái phép vào giao diện quản lý đám mây. Thậm chí tệ hơn, quyền truy cập sau đó có thể được vũ khí hóa để liệt kê và lập hồ sơ thiết bị, chiếm quyền điều khiển thiết bị, nâng cao đặc quyền và thậm chí chạy mã tùy ý.

Với việc ngày càng có nhiều thiết bị trực tuyến hơn và quản lý đám mây trở thành phương tiện chủ yếu để cấu hình và truy cập dịch vụ, hơn bao giờ hết, động lực đặt ra cho các nhà sản xuất và nhà cung cấp dịch vụ đám mây là phải bảo mật các thiết bị và kết nối này.

Nguồn: The Hacker News

Công ty CP Dịch vụ an toàn thông tin TP.HCM (HISSC) chuyên cung cấp các dịch vụ về an ninh mạng gồm:

  • Điện toán đám mây.

  • Mạng phân phối nội dung

  • Giám sát an toàn thông tin mạng.

  • Bảo vệ an toàn thông tin đầu cuối.

  • Sao lưu, phục hồi dữ liệu.

  • Diễn tập phòng chống tấn công mạng.

  • Kiểm tra, đánh giá an toàn thông tin mạng.

  • Đào tạo an toàn thông tin.

  • Dịch vụ khác:

    • Triển khai tích hợp giải pháp công nghệ an toàn thông tin theo yêu cầu.
    • Cho thuê thiết bị an toàn thông tin, công nghệ thông tin

Liên hệ dịch vụ: