Уязвимости «Devil's Ivy» в Open Source-библиотеке gSOAP оказались подвержены многие IoT-устройства
Иллюстрация с сайта Epicgardening.Com
Исследователи из компании Senrio, специализирующиеся на безопасности для интернета вещей (IoT), обнаружили проблему переполнения буфера в купольной камере Axis M3004. Как выяснилось позже, ей оказались подвержены многочисленные устройства со всего мира.
Уязвимость в безопасности, получившая название «Devil’s Ivy» и номер CVE-2017-9765, проявляет себя при попытке обработать большой XML-файл (более 2 Гб) веб-серверами некоторых устройств (вопреки популярной политике отказа от таких запросов, принятой во многих веб-серверах по умолчанию). Проблема приводит к тому, что сформированное специальным образом содержимое большого файла позволяет злоумышленникам исполнять удалённо (т.е. на устройстве, подверженном уязвимости) произвольный код или вызывать отказ в его обслуживании (denial of service). Источником уязвимости оказалась Open Source-библиотека gSOAP для работы с SOAP/XML в веб-сервисах. Её код поддерживает компания Genivia.
По данным Senrio, на 1 июля в интернете было обнаружено 14 тысяч уязвимых камер Axis Communications, которые популярных в разных областях (здравоохранение, транспорт, государственные службы, розничная продажа, банки). Производитель уязвимых камер выпустил обновления прошивки для проблемных моделей ещё 10 июля, однако, судя по всему, она затрагивает и другие устройства. По данным Genivia, стоящей за библиотекой gSOAP, библиотеку только из её источников скачали более миллиона раз, а ещё она задействована в популярных дистрибутивах GNU/Linux: соответствующий баг появился у Red Hat, Ubuntu, SUSE, — а патч с исправлением CVE-2017-9765 «Devil’s Ivy» был доступен ещё с 21 июня.
Комментарий от Senrio: «Мы назвали уязвимость Дьявольский плющ (Devil’s Ivy), потому что её, как и это растение, практически невозможно истребить, и она быстро распространяется из-за повторного использования кода [применения одной Open Source-библиотеки в разных приложениях и устройствах — прим. перев.]. Её источник находится в стороннем наборе инструментов, который скачали миллионы раз, что означает, оно попало на тысячи устройств, и полностью его истребить будет сложно».
Постоянная ссылка к новости: http://www.nixp.ru/news/14120.html. Дмитрий Шурупов по материалам zdnet.com.
В CNCF приняты Open Source-проекты Notary от Docker и TUF, а также 30 новых компаний-участников
Nebula — новый инструмент для оркестровки Docker-контейнеров в масштабных IoT-кластерах
Linux Foundation запустила EdgeX Foundry для стандартизации интернета вещей
Apache Mynewt 1.0.0 — операционная система с открытым кодом для компактных устройств и интернета вещей (IoT)
Google выпустила инструмент OSS-Fuzz для постоянного fuzz-тестирования Open Source-проектов 1
Три инфраструктурных Open Source-проекта получили 450 тысяч USD в рамках CII от Linux Foundation 1
Последние комментарии
- OlegL, 17 декабря в 15:00 → Перекличка 21
- REDkiy, 8 июня 2023 года в 9:09 → Как «замокать» файл для юниттеста в Python? 2
- fhunter, 29 ноября 2022 года в 2:09 → Проблема с NO_PUBKEY: как получить GPG-ключ и добавить его в базу apt? 6
- Иванн, 9 апреля 2022 года в 8:31 → Ассоциация РАСПО провела первое учредительное собрание 1
- Kiri11.ADV1, 7 марта 2021 года в 12:01 → Логи catalina.out в TomCat 9 в формате JSON 1