Тысячи IoT-устройств под угрозой из-за уязвимости в библиотеке gSOAP

Тысячи IoT-устройств под угрозой из-за уязвимости в библиотеке gSOAP

Тысячи IoT-устройств под угрозой из-за уязвимости в библиотеке gSOAP

Специалисты компании Senrio обнаружили баг в популярной C/C++ библиотеке gSOAP, которая широко используется при разработке прошивок для различных IoT-девайсов. Авторы библиотеки, компания Genivia, пишут, что их продукт может пригодиться компаниям, которые «занимаются разработкой продуктов, отвечающих новейшим стандартам для XML, XML Web services, WSDL и так далее».

Проблема, получившая название Devil’s Ivy и идентификатор CVE-2017-9765, была найдена практически случайно, в ходе анализа прошивки камеры Axis M3004. Связавшись с производителем устройства, исследователи выяснили, что баг присутствует в 249 из 252 моделях камер, выпускаемых компанией, а корни проблемы уходят к использованию библиотеки gSOAP, пишет xakep.ru.

Хотя уязвимость является простым переполнением буфера (buffer overflow), с ее помощью специалисты Senrio сумели добиться выполнения вредоносного кода на камере Axis. 

Хотя Axis уже выпустили обновленную прошивку для своих камер, а разработчики gSOAP исправили баг и 21 июня представили версию 2.8.48, исследователи предупреждают, что уязвимость еще может доставить немало проблем.  Дело в популярности библиотеки gSOAP, которой пользуются многие производители и разработчики. К примеру, на сайте Genivia  сказано, что суммарное количество загрузок gSOAP превышает один миллион. Таким образом, использовать уязвимые версии библиотеки могу тысячи IoT-устройств, и, к сожалению, далеко не все производители готовы выпускать патчи так же оперативно, как Axis.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ГЛОНАСС готовит правовую почву для стандартизации кибербезопасности дронов

Компания «ГЛОНАСС» и ассоциация «Доверенная платформа» готовятся к запуску эксперимента по созданию единых стандартов защиты дронов от кибератак. По плану, подготовительные работы должны быть завершены до конца текущего года.

По словам руководителя проектов авиации ГЛОНАСС Сергея Кукарева, инициатива направлена на формирование нормативной базы для безопасного промышленного использования не только воздушных, но также наземных и водных беспилотников.

Эксперимент также призван заложить основы государственной политики, в соответствии с которой подобный транспорт по степени рисков будет приравнен к объектам критически важной инфраструктуры (КИИ).

В настоящее регуляторных норм по безопасному перемещению воздушных беспилотников в России нет. В то же время отсутствие защиты гражданских дронов от взлома, перехвата управления, спуфинга GPS-сигнала может привести к серьезным последствиям (потеря груза, травмы и т. п.), а успешные атаки способны еще больше ограничить их использование.

Разработчики программы экспериментального правового режима по стандартизации киберзащиты дронов убеждены: безопасность следует закладывать на этапе проектирования всех элементов системы (по принципу Secure by Design).Лишь в этом случае удастся создать устойчивую к атакам среду на основе отечественных технологий.

Развитие российского рынка дронов также тормозят запреты на полеты, вводимые в связи с возможностью их использования для диверсий. Снять эти ограничения поможет система идентификации гражданских беспилотников, созданная на основе «ЭРА-ГЛОНАСС»; ее запуск, как выяснил РБК, ожидается в этом году.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru