海外流行物联网云平台 OvrC 曝一系列重大漏洞，黑客可远程执行恶意代码
我要评论11 月 16 日消息，海外安全公司 Claroty 发布报告，流行列重曝光了一款海外流行的物联网物联网设备云端管理平台 Ovr 内含的一系列重大漏洞。安全公司声称黑客可以接连利用这些漏洞实现在物联网设备上远程执行恶意代码，平台曝系而根据 CVSS 风险评估，大漏洞黑代码部分曝光的远程漏洞风险评分高达 9.2（满分 10 分）。
据悉，执行OvrC 物联网平台的恶意主要功能是通过移动应用或基于 Web Socket 的界面为用户提供远程配置管理、运行状态监控等服务。海外自动化公司 SnapOne 在 2014 年收购了该平台，流行列重在 2020 年声称 OvrC 已拥有约 920 万台设备，物联网而如今该平台预计坐拥 1000 万台设备。平台曝系
参考安全报告获悉，相关漏洞主要包括输入验证不足、远程不当的执行访问控制、敏感信息以明文传输、数据完整性验证不足、开放式重定向、硬编码密码、绕过身份验证等，此类漏洞大多源于设备与云端接口的安全设计缺陷，黑客可利用漏洞绕过防火墙，避开网络地址转换（NAT）等安全机制，从而在平台设备上运行恶意代码。
参考 CVSS 风险评分，4 个被评为高危的漏洞分别是：输入验证不足漏洞 CVE-2023-28649、不当访问控制漏洞 CVE-2023-31241、数据完整性验证不足漏洞 CVE-2023-28386，以及关键功能缺乏认证漏洞 CVE-2024-50381，这些漏洞的评分在 9.1 至 9.2 之间。
关于漏洞的具体利用方式，研究人员指出，黑客可以先利用 CVE-2023-28412 漏洞获取所有受管设备的列表，再通过 CVE-2023-28649 和 CVE-2024-50381 漏洞强制设备进入“未声明所有权”（Unclaim）状态。随后黑客即可利用 CVE-2023-31241 漏洞将 MAC 地址与设备 ID 匹配，并通过设备 ID 重新声明设备所有权，最终实现远程执行代码。
值得注意的是，在研究人员报告后，大部分问题已于去年 5 月被修复，但仍有两个漏洞直到本月才得到解决，目前，该平台已完全修复相应漏洞。
广告声明：文内含有的对外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，所有文章均包含本声明。
相关文章
【#春节祝福语# #新年文案配图适合发朋友圈(摘录62句)#】1、元旦到，平安叫你去报到，幸福对你把手招，好运向你要拥抱，快乐请你把它捎。祝你元旦万事好，要风得风，要雨得雨，钞票漫天，黄金遍地，财源滚2024-11-19
邪能并不会欺骗你作者：白眼镜猫分类：其他类型角色：操作：加入书架|投推荐票最后更新：2024-11-17 13:55:54最新更新：第六百五十章 李珂的变化与恶魔打交道的人，一般都不会有什么良心。他们2024-11-19
探秘高交会丨前海已集聚科技企业5.4万家 深港产学研成果显现
南方财经全媒体记者 陈思琦 深圳报道冲天俯拍、运动跟随、行星环绕、渐远退飞……在第二十六届高交会前海展区，一台手掌大小的飞行相机萦绕半空，探馆vlog轻松解锁空中视角。这是深圳零零无限科技有限公司带来2024-11-19
好工具列车时刻表频道为您提供2024年最新C7022次动车相关信息，C7022从深圳站到广州东站全程耗时约1小时13分钟，本车次发车时间为22:25，到达时间为当日23:38，总共有4站。C7022次2024-11-19
在明朝，有位大画家作画时不小心画错了一笔可正是这画错的一笔却如画龙点睛一般升华了整幅画几百年后，齐白石品鉴时大为赞叹认为这一处绝妙无比正是整幅画最灵动的一笔徐渭在画《驴背行吟图》时少添了一笔也不知道是2024-11-19
海峡网讯 厦门晚报 文/记者 戴舒静 通讯员 林旭菁 漫画/刘哲姝 ）在工地食堂吃饭打汤时多拿了一个塑料碗，被食堂老板骂了两句，陈某怀恨在心，叫来七八个人到食堂老板开的小卖部一顿打砸。近日，翔安检察院2024-11-19
最新评论