IT業界社群及資訊平台

【響起警號】Microsoft 發現物聯網及工業科技記憶體分配漏洞

Microsoft 被稱為 Section 52 的 Azure Defender for IoT 安全研究小組近日發現,物聯網和營運技術(Operational Technology,OT)裝置上,有一系列的記憶體分配漏洞,可用來執行惡意程式。這個目前盛行的漏洞名為 BadAlloc,與不正確驗證的輸入有關,而這個漏洞會導致堆溢出,並最終執行這些代碼。

研究小組在發文指,這些漏洞都源於使用記憶體容易受攻擊的功能,如 malloc、calloc、realloc、memalign、valloc、pvalloc 等。當傳遞外部輸入時,這些函數就會出現問題,因為這些外部輸入可能導致整數溢出或迴繞函數,折回的結果是重新分配記憶體緩衝區。小組又指,儘管折回而分配的記憶體不多,但令與記憶體分配相關的負載,超過了實際緩衝區分配,導致了溢出;缺乏輸入驗證令入侵者開採記憶體分配功能,造成堆積溢位,而令他們可於目標裝置上執行任意程式。

Microsoft 正與美國國土安全部合作,向受影響的供應商發出警報,並修復漏洞。在通報中所示的受影響產品來自 Google Cloud、Arm、Amazon、Red Hat、Texas Instruments 及 Samsung Tizen 的設備。通用漏洞評分系統 v3 (Common Vulnerability Scoring System, CVSS v3)評分由 Samsung Tizen 的 3.2 至 Red Hat newlib version 4前的版本的 9.8。

Microsoft 建議修補受影響的產品,但由於工業設備難以更新,建議在可能的情況下,斷開設備與互聯網的連接,或將裝置放於具有 2FA 身份驗證的 VPN 保護內,作網絡安全和監視,並使用網絡分段來保護關鍵資產。小組指,網絡分段對於零信任(zero trust)至關重要,因為它會限制攻擊者在最初入侵後的橫向移動,以及損害資產的能力,並應使用防火牆將物聯網設備及 OT 網絡,與公司的 IT 網絡隔離。

資料來源:https://zd.net/3nFMoKR

Privacy Preference Center