物联智能Kalay平台含有重大漏洞,将允许黑客自远程访问IoT设备

美国国土安全部旗下的网络安全暨基础架构安全局(CISA)与安全企业FireEye本周警告,台湾IoT平台企业物联智能(ThroughTek)所打造的Kalay P2P SDK含有一重大安全漏洞CVE-2021-28372,将允许黑客自远程执行任意程序或访问机密信息,而物联智能则已修补该漏洞,并呼吁用户尽快更新。

根据物联智能的说明,Kalay为一奠基于P2P技术的基础架构,具备多种模块化功能,还能根据客户需求进行定制化,也能以SDK形式嵌入应用程序或IoT设备。

FireEye指出,CVE-2021-28372藏匿在Kalay平台的一个核心组件中,黑客必须非常熟悉Kalay协议,并具备产生及发送消息的能力,也必须先取得Kalay的用户ID(UID)才能发动攻击,进一步危害相关UID的设备。CISA则说,成功开采漏洞将允许黑客执行恶意程序或访问机密信息,包括摄影机的音频与视频。其CVSS风险指数高达9.6。

研究人员表示,他们并不确定有多少设备受到该漏洞的影响,但物联智能的官网显示,全球有超过8,300万个设备采用Kalay平台。

受到波及的Kalay P2P SDK包括3.1.5与之前的版本,拥有nossl标签的SDK,在IOTC连接时未使用AuthKey的设备固件,采用AVAPI模块却未激活DTLS机制的固件,以及采用RDT模块或P2PTunnel的固件。

迄今尚未发现任何锁定该漏洞的攻击程序,物联智能建议用户应立即更新。

此外,在两个月前,CISA也曾警告该公司SDK含有CVE-2021-32934漏洞,当时物联智能说明早已于2018年发布的SDK 3.1.10修补该漏洞,以及客户不升级的状况。

发表评论