Форум | Объявления | Новинки | Журнал | iMag | Электронная газета | Подписка | Архив | Медиакиты | Мероприятия

Журналы в формате iMag

Форум

Публикации

Архив


Новости проекта

Системная интеграция

Отраслевые

Новости CCTV

Новости СКУД

Новости ОПС

Новости ПБ

Электронная газета "Системы безопасности"


Журнал "Системы безопасности"

Каталог "Системы безопасности"

Каталог "Пожарная безопасность"

Рекламодателям


Video & Vision

СКУД. Антитерроризм


Подписка

Платная подписка

Исторический календарь

Контакты

Ссылки

Мероприятия

English

Уязвимость в веб-сервере GoAhead угрожает сотням тысяч "умных" устройств

Реклама на сайте

Уязвимость в веб-сервере GoAhead угрожает сотням тысяч "умных" устройств


26.12.2017

Уязвимость в веб-сервере GoAhead угрожает сотням тысяч "умных" устройств

Веб-сервер GoAhead разработан небольшой американский компанией Embedthis Software LLC и, согласно официальному сайту, данное решение активно используют в своих продуктах такие крупные производители, как Comcast, Oracle, D-Link, ZTE, HP, Siemens, Canon и так далее. Такая популярность GoAhead объясняется просто, дело в том, что веб-сервер может работать даже на IoT-устройствах, чьи ресурсы сильно ограничены, то есть роутерах, принтерах, камерах и прочем сетевом оборудовании.

Исследователи австралийской ИБ-компании Elttam сообщают, что им удалось обнаружить опасную RCE-уязвимость в составе GoAhead ниже версии 3.6.5. Проблема получила идентификатор CVE-2017-17562. Баг сопряжен с работой скриптов CGI и эксплуатировать его можно лишь в том случае, если поддержка CGI включена, равно как и поддержка dynamically linked executables.

Эксперты уже уведомили о бреши разработчиков Embedthis Software LLC, и те представили исправленную версию GoAhead. Однако исследователи Elttam предупреждают, что уязвимости подвержены все предыдущие вариации веб-сервера (хотя тестирование проводилось лишь до версии 2.5.0), и это может стать большой проблемой.

Дело в том, что теперь производители многочисленных устройств с GoAhead на борту должны будут предоставить своим пользователям обновления для уязвимого оборудования. К сожалению, в этой области интернета вещей положение дел весьма печально, — как показывает практика, "умные" устройства могут не получать обновлений долгие месяцы или даже годы, а многие гаджеты и вовсе останутся без патчей навсегда, так как срок официальной поддержки для них уже истек.

По данным поисковика Shodan, в настоящее время в сети можно обнаружить 500-700 тысяч устройств с уязвимыми версиями GoAhead на борту. И ситуация лишь усугубляется тем, что наряду с отчетом об уязвимости эксперты Elttam опубликовали и proof-of-concept эксплоит.

Стоит заметить, что это не первый случай, когда ИБ-специалисты находят в GoAhead серьезные уязвимости. К примеру, в марте 2017 года исследователь Пирри Ким (Pierre Kim) сообщил, что из-за проблем в различных имплементациях GoAhead под угрозой находятся  свыше 1200 моделей IP-камер 354 разных производителей.

Разумеется, веб-сервер и уязвимости в нем не укрылись от внимания злоумышленников. IoT-ботнеты, построенные на базе Mirai, Hajime, BrickerBot, Persirai и другой малвари, уже давно взяли на вооружение баги в GoAhead. Увы, теперь, учитывая доступность эксплоита для новой проблемы, эксперты прогнозируют очередную волну атак на "дырявые" устройства интернета вещей.

Хакер


Добавить комментарий

Автор:
Компания:
E-mail:
Уведомлять о новых сообщениях в этой теме да
нет
Текст сообщения:
Введите код:









Реклама на сайте

ПОИСК

РАССЫЛКА

Подписка на новости сайта
Введите ваш e-mail


Реклама на сайте

Анонс



Свежий номер журнала "Системы безопасности"

Вызов консультанта

СТАТЬИ

• История компании АСТРОН
• Разработка оптико-информационных технологий создания мультиспектральных модулей на базе ИК- и видеосистем
• Решение для автоматизации предрейсовых осмотров водителей автотранспортных компаний
• Трансформация розницы: в поисках правильной цифровой стратегии
• Сегмент, которого нет? Поворотные мини-купольные камеры
• Человеческий фактор в системе контроля и управления доступом


Видеонаблюдение (CCTV)
Видеорегистрация (DVR)
IP-security
Охранно-пожарная сигнализация
Директор по безопасности
Системы ограничения и контроля доступа
Комплексные системы безопасности
В центре внимания. Тесты
Пожарная безопасность





Рейтинг@Mail.ru

Яндекс цитирования


Реклама на сайте | Правила перепечатки материалов | Контакты

Copyright © 2007-2018, ООО "Гротек"