青莲晚报（第四十五期）| 物联网安全多知道

iSCSI未授权访问漏洞，数万iSCSI可能受影响

iSCSI（Internet Small Computer System Interface）Internet小型计算机系统接口，又称为IP-SAN，是一种基于因特网及SCSI-3协议下的存储技术，由IETF提出，并于2003年2月11日成为正式的标准。

2019年4月17日，白帽汇安全研究院（以下简称白帽汇）经过FOFA系统分析，发现存在许多未授权访问的iSCSI面临安全风险，任意的攻击者都可对未授权访问的iSCIS进行访问、修改、删除等操作，对用户造成数据泄露、数据丢失等风险。

根据FOFA系统近一年统计显示，目前全球共有34564个iSCSI协议对外开放（非漏洞情况）。其中，中国第一，共有8726个对外开放；第二是韩国，共有3688个；第三是美国，共有3662个；第四是俄罗斯，共2602个。

详文阅读：

https://www.anquanke.com/post/id/176783

华为苹果三星等均受影响：博通 WiFi 驱动被曝漏洞，可导致 RCE 和 DoS

DHS/CISA 发出警告且 CERT/CC 漏洞说明指出，博通 WiFi 芯片集驱动被指包含多个漏洞，影响多个操作系统，可导致潜在攻击者远程执行任意代码并触发拒绝服务。

Quarkslab 公司的实习生 Hugues Anguelkov 在逆向工程并模糊测试博通 WiFi 芯片固件时，发现并报告了从“博通 wl 驱动和博通 WiFi 芯片集开源 brcmfmac 驱动”中找到的五个漏洞。

他发现“博通 wl 驱动易受两个堆缓冲溢出漏洞影响，而开源的 brcmfmac 驱动易受一个框架验证绕过和一个堆缓冲溢出漏洞影响。”

按照 CWE-122 的描述，堆缓冲溢出可导致系统崩溃或导致受影响软件进入无限循环，同时导致攻击者“执行通常不在程序安全策略范围内的任意代码”。

详文阅读：

http://codesafe.cn/index.php?r=news/detail&id=4824

法国政府开发的加密通讯 app 不堪一击，在数小时内即被攻破

一名白帽黑客成功攻破法国政府新发布的一款加密通讯 app。这款 app 本应仅供邮件账户和政府身份相关联的官员和政府人员所使用。

这款 app 名为 “Tchap”，它是一款端对端加密的开源通讯 app，是由法国政府开发的，旨在将官员、议员和部长的数据保留在法国境内，以免被外国机构用于监控其通信内容。

Tchap app 使用 Riot 客户端构建而成。Riot 客户端是一款开源即时通讯软件，为端对端加密通信实现自托管的 Matrix 协议。

没错，这就是之前被曝服务器遭黑客攻击并导致未加密私人信息、密码哈希、访问令牌和 GPG 密钥遭泄露的 Riot and Matrix。Matrix 遭受的攻击非常严重，最终强制其维护人员关闭整个服务的生产基础设施且长达数小时事件，且导致所有用户无法访问Matrix.org。

详文阅读：

http://codesafe.cn/index.php?r=news/detail&id=4830

某P2P软件存在关键漏洞，200万物联网设备易受远程入侵

据外媒报道，一个P2P通信软件组件iLnkP2P中存在严重的安全漏洞，可劫持并访问近200万台物联网设备，并远程控制它们。

由某公司的P2P软件组件iLnkP2P，被部署在数百万个物联网设备上。iLnkP2P用于安全摄像头和网络摄像头、婴儿监视器、智能门铃和数字录像机中，攻击者可利用漏洞进行窃听、窃取密码、远程入侵。

发现该漏洞的研究人员Paul Marrapese表示，该漏洞影响了全球200万台物联网设备，这些设备包括HiChip、TENVIS、SV3C、VStarcam、Wanscam、NEO Coolcam、Sricam、Eye Sight和HVCAM等。

详文阅读：

欧洲大型制造企业遭勒索软件攻击

继全球最大的铝生产企业之一Norsk Hydro遭遇勒索软件攻击后不久，又一大型制造企业中招。

　　据外媒报道，欧洲最大的制造企业之一、在美国设有分支机构的Aebi Sschmidt的系统遭勒索软件攻击。Aebi Sschmidt的业务主要为建造机场和制造公路养护车辆。

　　据知情人士称，公司在网络安全事件发生后中断了运营。该公司整个国际网络的系统都崩溃了，其中受到破坏最严重的是瑞士总部。此外，公司的电子邮件服务器也受到了严重影响。

事件曝光几天后，该公司一名发言人通过社交媒体发布了一条消息，称“部分系统因安全事故而中断”，主要问题是服务器企业邮件发生故障。消息还证实了其他系统受到了一些损害。但发言人没有阐述细节，只称专家正在努力恢复公司网络环境，这可能需要较长的时间。

详文阅读：

转载请注明来自网盾网络安全培训，本文标题：《青莲晚报（第四十五期）| 物联网安全多知道》

标签：物联网安全青莲云