建站
咨詢
售后
建站咨詢
新聞中心
這里有您想知道的互聯(lián)網(wǎng)營銷解決方案
臺灣制造商“物聯(lián)智慧”曝9.1分高危漏洞，危及供應鏈上數(shù)百萬設備
物聯(lián)智慧(ThroughTek)，這是一家2008年于中國臺灣成立的物聯(lián)網(wǎng)云端服務平臺解決方案商。
近期，CISA發(fā)布了一個新的 ICS公告，稱ThroughTek 工具中存在高危漏洞(CVSS評級9.1分)。該漏洞可被攻擊者利用，從而訪問音頻、視頻源以及其他敏感信息，還可以欺騙設備、劫持設備證書。
由于ThroughTek 軟件組件被安全攝像頭和智能設備供應商廣泛使用，目前已被整合至數(shù)以百萬計的連接設備中。作為多個消費級安全攝像頭和物聯(lián)網(wǎng)設備原始設備制造商供應鏈的組成部分，此次漏洞影響IP 攝像機到嬰兒和寵物監(jiān)控攝像機，以及機器人和電池設備。
目前，漏洞存在于以下版本：
- 3.1.5及更早版本
- 帶有nossl標簽的SDK版本
- 不使用AuthKey進行IOTC連接的設備固件
- 使用AVAPI模塊而不啟用DTLS機制的設備固件
- 使用P2PTunnel或RDT模塊的設備固件。
CISA 在新聞稿中表示，“ThroughTek P2P 產(chǎn)品不能充分保護在本地設備和 ThroughTek 服務器之間傳輸?shù)臄?shù)據(jù)。這可能允許攻擊者訪問敏感信息，例如攝像頭信息?！?/p>
物聯(lián)智慧則表示，部分客戶“錯誤地”實施了該公司的 SDK，或者“忽視”了他們的 SDK 版本更新。事實上，該漏洞已在SDK 3.3 版及 2020 年以后的版本中得到解決，但對于 3.1.5 版(包括 3.1.5 版)而言仍然是一個問題。
緩解措施
物聯(lián)智慧(ThroughTek) 建議原始設備制造商實施以下緩解措施：
- 任何運行 SDK 3.1.10 及以后版本的原始設備制造商都應該啟用 Authkey 和DTLS;
- 如果SDK是 3.1.10 之前的任何版本，則需要升級到v3.3.1.0 或 v3.4.2.0 并啟用 authkey/DTLS。
CISA 則建議用戶采取相應防御措施，將漏洞的風險降至最低：
- 盡量減少所有控制系統(tǒng)設備和系統(tǒng)的網(wǎng)絡暴露，并確保它們不能從 Internet 訪問。
- 定位控制系統(tǒng)網(wǎng)絡和防火墻后面的遠程設備，并將它們與業(yè)務網(wǎng)絡隔離。
- 如需遠程訪問，請使用虛擬專用網(wǎng)絡等安全方法。不過也要意識到虛擬專用網(wǎng)絡可能存在漏洞，同樣需要更新到可用的最新版本。
最后，所有企業(yè)在部署防御措施之前，最好都進行適當?shù)挠绊懛治龊惋L險評估。
參考來源：
- https://us-cert.cisa.gov/ics/advisories/icsa-21-166-01CISA
- https://www.throughtek.com/about-throughteks-kalay-platform-security-mechanism/
本文標題：臺灣制造商“物聯(lián)智慧”曝9.1分高危漏洞，危及供應鏈上數(shù)百萬設備
本文來源：http://www.5511xx.com/article/dhhpepi.html
