Các thiết bị Internet-of-Things đang biến mọi ngành công nghiệp thành ngành công nghiệp máy tính, khiến khách hàng nghĩ rằng cuộc sống của họ sẽ dễ dàng hơn nhiều với các thiết bị thông minh.
Tất nhiên, có một số lý do thực sự tốt để kết nối một số thiết bị nhất định với Internet. Ví dụ: bật điều hòa từ xa vài phút trước khi bạn vào nhà, thay vì để nó chạy cả ngày.
Nhưng có phải tất cả mọi thứ cần phải được kết nối?
Dĩ nhiên là không. Một ví dụ như vậy là báo cáo lỗi mới nhất tại Full Disclosure, ảnh hưởng đến thiết bị máy giặt khử trùng được kết nối Internet của nhà sản xuất Miele có trụ sở tại Đức.
Các Miele Professional PG 8528 thiết bị, được sử dụng trong các cơ sở y tế để làm sạch và khử trùng đúng cách các dụng cụ phẫu thuật và phòng thí nghiệm, đang bị lỗ hổng Traversal Web Server Directory.
Jens Regel của công ty tư vấn Schneider & Wulf của Đức đã phát hiện ra lỗ hổng (CVE-2017-7240) cho phép kẻ tấn công từ xa, không được xác thực truy cập vào các thư mục khác ngoài những thư mục mà máy chủ web cần.
Sau khi truy cập, kẻ tấn công có thể đánh cắp thông tin nhạy cảm được lưu trữ trên máy chủ và thậm chí chèn mã độc của riêng chúng và yêu cầu máy chủ web thực thi nó.
“Máy chủ web nhúng tương ứng ‘PST10 WebServer’ thường lắng nghe cổng 80 và dễ bị tấn công truyền tải thư mục, [and] do đó, kẻ tấn công không được xác thực có thể khai thác vấn đề này để truy cập thông tin nhạy cảm nhằm hỗ trợ cho các cuộc tấn công tiếp theo,” Regel giải thích.
Đã phát hành mã khai thác Proof-of-Concept!
Regel cũng đã xuất bản mã khai thác bằng chứng khái niệm (PoC) cho lỗ hổng này, điều đó có nghĩa là tin tặc hiện có thể khai thác lỗ hổng trước khi nhà cung cấp đưa ra bản vá.
Học cách bảo vệ phạm vi nhận dạng – Các chiến lược đã được chứng minh
Cải thiện bảo mật doanh nghiệp của bạn với hội thảo trực tuyến về an ninh mạng do chuyên gia hướng dẫn sắp tới của chúng tôi: Khám phá các chiến lược Vành đai nhận dạng!
Đừng bỏ lỡ – Tiết kiệm chỗ ngồi của bạn!
Việc khai thác PoC rất đơn giản cho bất kỳ ai:
NHẬN /../../../../../../../../../../../../etc/shadow HTTP/1.1 tới bất kỳ IP nào mà máy rửa chén có trên mạng LAN.
Không rõ Miele đã sử dụng thư viện nào để tạo máy chủ Web, tuy nhiên, theo Regel, anh ta có thể yêu cầu tệp bóng của hệ thống nhúng – và bằng cách mở rộng bất kỳ tệp nào trên hệ thống tệp.
Nhà nghiên cứu đã tiết lộ riêng lỗ hổng cho Miele vào tháng 11 năm 2016, nhưng không nhận được phản hồi từ nhà cung cấp trong hơn ba tháng. Vì vậy, nó vẫn chưa được biết khi nào một bản sửa lỗi có thể được mong đợi (hoặc nếu nó tồn tại).
Do đó, lựa chọn tốt nhất để giữ an toàn cho bản thân là tạm thời ngắt kết nối thiết bị khỏi Internet cho đến khi bản vá được phát hành.
