IoTデバイスで広く使用されているFreeRTOSオペレーティングシステムは、コンピューターハッカーによって悪用されてインスタンスを停止する可能性があります. セキュリティ研究者のチームは最近、ハッカーがターゲットIoTアプライアンスへの多数の経路を許可する多くのバグが含まれていることを発表しました.
IoTデバイスはFreeRTOSのバグエクスプロイトを介して簡単に削除できます
多くのIoTデバイスで使用されている人気のあるFreeRTOSオペレーティングシステムには、ハッカーがそのようなインスタンスを簡単に悪用できるようにする多数のバグが含まれていることが判明しています。. また、パッチが開発されている場合でも、それらの実装は必ずしも期待される時間枠内にあるとは限りません。. セキュリティ研究者のチームは次のように発表しました テスト中 13 脆弱性が発見されました. それらは犯罪者が様々な攻撃を実行することを可能にします: データの盗難, 情報漏えい, リモートコード実行, ネットワーク攻撃, サービス拒否など. FreeRTOSの悪用は、特定のバグに対する概念実証コードがロードされた専門の侵入テストフレームワークを使用して、手動または自動の両方で実行できます。.
脆弱なコードは、TCP/IPネットワークスタックとAWSセキュア接続コンポーネント内で好まれていました. これは基本的なモジュールの1つであり、その悪用は重大な損害が発生する可能性があることを示しています. 昨年、Amazonは、IoTデバイスをAWSクラウドサービスに接続できるようにするソフトウェアライブラリを使用してメインカーネルを拡張し始めました.
脆弱性の完全なリストには、次のものが含まれます:
- リモートコード実行 — CVE-2018-16522, CVE-2018-16525, CVE-2018-16526, およびCVE-2018-16528.
- 情報漏えい — CVE-2018-16524, CVE-2018-16527, CVE-2018-16599, CVE-2018-16600, CVE-2018-16601, CVE-2018-16602, CVE-2018-16603.
- サービス拒否のバグ — CVE-2018-16523.
- 不特定の脆弱性 — CVE-2018-16598.
パッチはすでにリリースされています AWSFreeRTOSバージョンのデプロイされたインスタンスの場合 1.3.2 以降. このオペレーティングシステムを使用しているベンダーは多数あると考えられており、それ以上の情報の公開は停止されています. の待機期間 30 ベンダーがモジュールにパッチを適用できるようにするための日が始まりました. 次に、すべてのIoTデバイスの所有者は、インスタンスが脆弱なバージョンのFreeRTOSオペレーティングシステムを実行しているかどうかを確認し、ハッキング攻撃から身を守るために必要な手順を実行する必要があります。.
マーティン・ベルトフ
マーティンはソフィア大学で出版の学位を取得して卒業しました. サイバーセキュリティ愛好家として、彼は侵入の最新の脅威とメカニズムについて書くことを楽しんでいます.
フォローしてください: