青莲晚报（第四十二期）| 物联网安全多知道
当今社会物联网设备已经逐步渗透到人们生产生活的方方面面，为人们及时了解自己周围环境以及辅助日常工作带来便利。但随着互联紧密度的增高，物联网设备的安全性问题也逐渐影响到人们的正常生活，甚至生命安全，物联网设备安全不容小觑。
以下为近日的物联网安全新闻内容。
思科为其RV320 / RV325路由器提供了拙劣的补丁
RedTeam Pentesting的安全专家发现了CVE-2019-1652和CVE-2019-1653，并向思科披露，该思科于2019年1月发布了补丁。
不幸的是，这些补丁并没有修复这些漏洞，而只是将用户代理列入黑名单，这是一种用于传输许多流行的互联网扫描工具所使用的数据的命令行工具。
RedTeam Pentesting再次发现了这一发现，漏洞继续允许攻击者通过管理员访问路由器的Web界面：
- 在设备上执行任意操作系统命令（CVE-2019-1652）和/或
- 收集可用于危害设备或连接网络的配置和诊断信息（CVE-2019-1653）。“通过下载配置/诊断信息，攻击者可以获得内部网络配置，VPN或IPsec机密，以及路由器用户帐户的密码哈希，
详文阅读：
https://www.helpnetsecurity.com/2019/03/28/cisco-botched-patches-for-its-rv320-rv325-routers/
0day! 不满无响应，谷歌选择公开 TP-Link SR20 路由器 0day ACE漏洞
TP-Link SR20 智能家庭路由器中的一个 0day 任意代码执行漏洞。该漏洞可导致位于同一网络的潜在攻击者执行任意命令。
“TP-Link 路由器常常以 root 权限运行名为 ‘tddp（TP-Link 设备调试协议）’的进程”，而这个进程此前被指包含其它多个漏洞。
TDDP 允许在设备上运行两种类型的命令：第一种不要求认证，而第二种要求管理员凭证。
允许攻击者以 root 权限执行任意代码
Garret 表示，易受攻击的路由器暴露了多个第一种类型的命令（即不要求认证的命令），其中一种命令 0X1f、请求 0X01“似乎是为某种配置验证设置”，允许准黑客发送一个命令，其中包含一个文件名称、一个分号以及参数来初始化利用进程。
这样指令 TP-Link 路由器将特殊构造的请求通过 Trivial File Transfer Protocol (TFTP) 进行发送。一旦连接到潜在攻击者的机器，SR20 智能路由器“通过 TFTP 请求文件名称，将其导入 LUA 解释器并将参数传递给所导入文件中的 config_test() 函数。该解释器以 root 权限运行。”
详文阅读：
http://codesafe.cn/index.php?r=news/detail&id=4788
铝巨头 Norsk Hydro 遭勒索攻击，全球系统大崩溃
全球最大的铝制造商之一 Norsk Hydro （挪威海德鲁公司）位于欧美的多个工厂运营遭受“大规模的网络攻击”，导致 IT 系统无法使用，因此不得不关闭。
Norsk Hydro 公司刚刚发布新闻稿称，该公司临时关闭多个工厂并将挪威、卡塔尔和巴西等国家的工厂运营模式改为“可以使用的”手动运营模式，以继续执行某些运营。
这次网络攻击始于美国，是由该公司的 IT 专家在周一晚上晚些时候（欧洲中部时间）首先检测到的，目前该公司正在缓解攻击并调查了解攻击的蔓延程度。
该公司表示，“Hydro 的优先任务是继续确保安全操作并降低运营和金融影响。该问题并未导致任何与安全相关的事件发生。”
详文阅读：
http://codesafe.cn/index.php?r=news/detail&id=4768
华硕回应 Live Update 软件漏洞：仅数百台受到影响
华硕称，媒体报道华硕Live Update工具程序(以下简称Live Update)可能遭受特定APT集团攻击，APT通常由第三世界国家主导，针对全世界特定机构用户进行攻击，甚少针对一般消费用户。经过华硕的调查和第三方安全顾问的验证，目前受影响的数量是数百台，大部份的消费者用户原则上并不属于APT集团的锁定攻击范围。
华硕表示，Live Update为华硕笔记本电脑搭载的自动更新软件，部份机型搭载的版本遭黑客植入恶意程序后，上传至档案服务器(download server)，企图对少数特定对象发动攻击，华硕已主动联系此部份用户提供产品检测及软件更新服务，并由客服专员协助客户解决问题，并持续追踪处理，确保产品使用无虞。
针对此次攻击，华硕已对Live Update软体升级了全新的多重验证机制，对于软体更新及传递路径各种可能的漏洞，强化端对端的密钥加密机制，同时更新服务器端与用户端的软件架构，确保这样的入侵事件不会再发生。
详文阅读：
http://hackernews.cc/archives/25143
特斯拉Autopilot系统被黑
腾讯科恩实验室以特斯拉Model S（软件版本2018.6.1）为对象，针对其搭载的Autopilot系统进行安全研究，发现了自动驾驶系统的雨刷、车道的视觉识别缺陷和遥控器操控车辆行驶过程存在的潜在安全风险。
雨刷的视觉识别攻击
特斯拉Autopilot系统借助图像识别技术，通过识别外部天气状况实现自动雨刷功能。科恩实验室通过研究发现，利用AI对抗样本生成技术生成特定图像并进行干扰时，该系统输出了“错误”的识别结果，导致车辆雨刷启动。
车道的识别攻击
特斯拉Autopilot系统通过识别道路交通标线，实现对车道的识别和辅助控制。科恩实验室通过研究发现，在路面部署干扰信息后，可导致车辆经过时对车道线做出错误判断，致使车辆驶入反向车道。
详文阅读：
https://www.4hou.com/info/news/17159.html
Phoenix工业交换机曝漏洞 石油、能源和海事受影响
安全公司 Positive Technologies 披露6个CVE安全漏洞，事涉 Phoenix Contact FL Switch 3xxx、4xxx和48xx系列工业控制交换机。固件版本1.35及以上的设备漏洞已修复。
Positive将这批漏洞描述为“关键”安全风险级别，称黑客可利用漏洞将设备挤掉线，或者发起中间人攻击。
Positive Technologies SCADA 研究分析师 Paolo Emiliani 在该公司有关该问题的新闻通报中写道：成功利用这些漏洞可能导致工业控制系统(ICS)干扰，甚至完全中断。
漏洞CVE-2018-13993是跨站请求伪造漏洞，可致攻击者利用Web界面控制受影响交换机，进而发送任意指令。
CVE-2018-13990为暴力破解漏洞，因受影响交换机没有设置登录尝试超时限制所致。
CVE-2018-13992是潜在口令窃取漏洞，因为受影响交换机以明文在其Web界面传输登录信息。
CVE-2018-13991是中间人攻击漏洞，可致攻击者获取加密密钥。
另外两个漏洞，CVE-2018-13994和CVE-2017-3735是拒绝服务漏洞，因缓存错误和Web界面未恰当限制可能连接数量所致。
详文阅读：
https://www.aqniu.com/news-views/43757.html