Treck TCP/IP Stack 中的新漏洞影响了数百万个 IoT 设备
美国 *** 安全基础设施和安全局（CISA）警告称，Treck开发的一个低级TCP/IP软件库存在严重漏洞，远程攻击者可以运行任意命令并发动拒绝服务（DoS）攻击。
这四个漏洞影响Treck TCP/IP Stack 6.0.1.67及更早版本，其中两个漏洞的等级为严重。
Treck的嵌入式TCP/IP Stack部署在全球制造业、信息技术、医疗保健和运输系统中。
其中最严重的是Treck HTTP服务器组件中的基于堆的缓冲区溢出漏洞（CVE-2020-25066），该漏洞允许攻击者重置目标设备或使其崩溃，甚至执行远程代码。它的CVSS得分是9.8分（更高10分）。
第二个漏洞是IPv6组件（CVE-2020-27337，CVSS评分9.1）中的越界写入，未经身份验证的用户可利用该漏洞通过 *** 访问造成DoS。
其他两个漏洞涉及IPv6组件中的越界读取（CVE-2020-27338，CVSS得分5.9），未经身份验证的攻击者可能会利用该漏洞导致DoS。同一模块中的输入验证错误漏洞（CVE-2020-27336，CVSS得分3.7）可能导致越界读取（通过 *** 访问最多读取三个字节）。
Treck建议用户更新到6.0.1.68版本。在无法应用最新补丁的情况下，建议使用防火墙以过滤掉HTTP报头中包含负内容长度的数据包。
在Treck TCP/IP Stack出现新漏洞的6个月前，以色列 *** 安全公司 *** OF发现了名为Ripple20的软件库中的19个漏洞，这可能使攻击者在不需要任何用户交互的情况下获得对目标物联网设备的完全控制。
此外，本月早些时候，Forescout的研究人员发现了33个漏洞，统称为“AMNESIA：33”。这些漏洞可能导致TCP/IP Stack被滥用，使得攻击者可以控制易受攻击的系统。
考虑到复杂的物联网供应链，该公司发布了一种名为“project-memoria-detector”的新检测工具，以确定目标 *** 设备是否在实验室环境下运行易受攻击的TCP/IP Stack。
该工具可以通过GitHub访问。
消息及封面来源：The Hacker News ；译者：芋泥啵啵奶茶。
本文由 HackerNews.cc 翻译整理。
转载请注明“转自 HackerNews.cc ”
“Treck TCP/IP Stack 中的新漏洞影响了数百万个 IoT 设备” 的相关文章
区块链公司 Ronin 被黑 6.15亿美元加密货币被盗
视频链接：https://n.sinaimg.cn/sinakd20211219s/138/w600h338/20211219/9907-45d93401a89f40f888b22dc250f73fab.jpg 区块链项目Ronin发布消息称，黑客从该项目窃取价值6.15亿美元的加密货币。按照R...
图片滤镜应用被曝可窃取 FB 登录凭证 下架前已安装超 10 万次
一款用于窃取 Facebook 登录凭证的恶意 Android 应用目前在 Google Play 商城上已经被安装超过 10 万次，而且该应用目前仍可下载（发稿时已下架）。这款恶意程序被伪装成“Craftsart Cartoon Photo Tools”卡通化应用，允许用户上传图片并将其转换为卡通...
商业间谍黑客 RedCurl 再次现身
Hackernews编译，转载请注明出处： 一个企业网络间谍黑客组织在消失了7个月后重新浮出水面，今年它针对4家公司进行新入侵行动，其中包括俄罗斯最大的批发商店之一，同时对其工具集进行了战术性改进，以试图阻挠分析。 Group-IB 的伊万 · 皮萨列夫说: “在每一次攻击中，攻击者都展示了广泛的...
技术专家与黑客展开竞赛 以确保电动汽车网络电网的安全
电动汽车（EV）革命来了。在过去的十年里，插电式混合动力电动车已经从16000辆增长到超过200万辆，汽车高管们预计到2030年，超过50%的美国汽车将是全电动的。不难看出，专家们为何做出如此乐观的预测。除了不断增长的电动汽车车队，今年早些时候签署的美国国会两党基础设施协议将包括75亿美元，以帮助规...
加密货币平台 Wormhole 遭黑客入侵 预估损失 3.22 亿美元
Wormhole Portal 刚刚遭遇了“桥梁”漏洞攻击，导致该加密货币平台损失了相当于 3.228 亿美元的 ETH 和 SOL 。问题源于以太坊区块链上的一个“智能合约”缺陷，别有用心的攻击者可借此将一款加密货币转换成另一种并跑路。 攻击后，失窃的加密货币资产已缩水至 2.94 亿美元。虽然...
美国财政部报告：2021 年勒索事件支付赎金将近 6 亿美元 超过去年全年
根据美国财政部公布的最新报告，2021 年上半年勒索事件支付的赎金总额将近 6 亿美元，轻松超过了 2020 年全年的总额。该报告由财政部金融犯罪执法网络周五发布，重点提及了今年发生了几起高调的勒索软件攻击事件，包括 Colonial Pipeline 和肉类加工厂 JBS USA Holdings...
评论列表
发表评论
