แจ้งเตือนภัยช่องโหว่ร้ายแรงในอุปกรณ์ IoT และกล้อง CCTV นับล้าน แนะ Patch ทันที

นักวิจัยด้านความมั่นคงปลอดภัยสำหรับระบบ Internet of Things (IoT) โดยเฉพาะจาก Senrio ได้ค้นพบช่องโหว่ใน Open Source Library ที่มีชื่อว่า gSOAP toolkit ซึ่งมีอุปกรณ์ IoT และกล้อง CCTV ทั่วโลกนำไปใช้มากมายนับล้านอุปกรณ์ โดยช่องโหว่นี้อาจนำไปใช้เพื่อแอบสอดส่องข้อมูลในกล้อง CCTV หรือโจมตีให้อุปกรณ์เหล่านี้หยุดทำงานได้ พร้อมตั้งชื่อให้กับช่องโหว่นี้ว่า Devil’s Ivy

Devil’s Ivy นี้ถูกค้นพบในระหว่างที่นักวิจัยกำลังวิเคราะห์อุปกรณ์กล้อง CCTV จาก Axis Communications โดยส่งผลกระทบกับกล้องของ Axis เองกว่า 250 รุ่น ซึ่งทาง Axis เองก็ได้โต้ตอบด้วยการออก Patch มาอุดช่องโหว่เหล่านี้ไปแล้วอย่างรวดเร็วเมื่อวันที่ 6 กรกฎาคม 2017 ที่ผ่านมา และแนะนำให้ลูกค้าทุกรายอัปเดตทันที โดยรายการของกล้องรุ่นที่มีช่องโหว่ดังกล่าวนี้อยู่ที่ https://www.axis.com/files/faq/ACV116267_(CVE-2017-9765).pdf

อย่างไรก็ดี gSoap toolkit ที่มีช่องโหว่นี้ก็ยังถูกนำไปใช้ในอุปกรณ์ IoT จากผู้ผลิตรายอื่นๆ อีกมากมาย ไม่ว่าจะเป็น Canon, Siemens, Cisco, Hitachi และอื่นๆ ซึ่งเหล่าผู้ใช้งานก็ควรต้องติดตามอัปเดต Patch กันให้ดีหลังจากนี้ โดย Axis เองได้แจ้งไปยัง Genivia ผู้พัฒนา gSoap toolkit เพื่อให้ออก Patch มาแล้วก่อนหน้าในวันที่ 21 มิถุนายน 2017 ที่ผ่านมา

หลังจากนี้การดูแลระบบกล้อง CCTV ให้มั่นคงปลอดภัยและอัปเดต Patch ล่าสุดอยู่เสมอก็จะกลายเป็นอีกงานที่องค์กรต่างๆ ต้องให้ความสำคัญกันมากขึ้น ก่อนที่อุปกรณ์เหล่านี้จะถูกโจมตีและเข้าควบคุม ซึ่งในอนาคตหน้าที่ลักษณะเดียวกันนี้ก็จะมีมากยิ่งขึ้นไปอีกจากการมาของอุปกรณ์ IoT ที่มีทั้งความหลากหลายและช่องโหว่ที่มากมาย

ที่มา : techtalkthai

ลิงค์ : https://www.techtalkthai.com/vulnerability-in-millions-of-iot-devices-and-cctv-cameras-was-found-with-patch-now/

Security researchers have discovered a critical remotely exploitable vulnerability in an open-source software development library used by major manufacturers of the Internet-of-Thing devices that eventually left millions of devices vulnerable to hacking.

The vulnerability (CVE-2017-9765), discovered by researchers at the IoT-focused security firm Senrio, resides in the software development library called gSOAP toolkit (Simple Object Access Protocol) — an advanced C/C++ auto-coding tool for developing XML Web services and XML application.

Dubbed “Devil’s Ivy,” the stack buffer overflow vulnerability allows a remote attacker to crash the SOAP WebServices daemon and could be exploited to execute arbitrary code on the vulnerable devices.

The Devil’s Ivy vulnerability was discovered by researchers while analysing an Internet-connected security camera manufactured by Axis Communications.

“When exploited, it allows an attacker to remotely access a video feed or deny the owner access to the feed,” researchers say.

“Since these cameras are meant to secure something, like a bank lobby, this could lead to collection of sensitive information or prevent a crime from being observed or recorded.”

Axis confirmed the vulnerability that exists in almost all of its 250 camera models (you can find the complete list of affected camera models here) and has quickly released patched firmware updates on July 6th to address the vulnerability, prompting partners and customers to upgrade as soon as possible.

However, researchers believe that their exploit would work on internet-connected devices from other vendors as well, as the affected software is used by Canon, Siemens, Cisco, Hitachi, and many others.

Axis immediately informed Genivia, the company that maintains gSOAP, about the vulnerability and Genivia released a patch on June 21, 2017.

The company also reached out to electronics industry consortium ONVIF to ensure all of its members, including Canon, Cisco, and Siemens, those who make use of gSOAP become aware of the issue and can develop patches to fix the security hole.

Internet of Things (IoT) devices has always been the weakest link and, therefore, an easy entry for hackers to get into secured networks. So it is always advisable to keep your Internet-connected devices updated and away from the public Internet.

from : thehackernews

link : https://thehackernews.com/2017/07/gsoap-iot-device-hacking.html

Author: Webmaster

Remotely Exploitable Flaw Puts Millions of Internet-Connected Devices at Risk

Author: Webmaster

แจ้งเตือนภัยช่องโหว่ร้ายแรงในอุปกรณ์ IoT และกล้อง CCTV นับล้าน แนะ Patch ทันที

Author: Webmaster

Related posts

Remotely Exploitable Flaw Puts Millions of Internet-Connected Devices at Risk

Author: Webmaster

Related posts