青莲晚报（第二十七期）| 物联网安全多知道
当今社会物联网设备已经逐步渗透到人们生产生活的方方面面，为人们及时了解自己周围环境以及辅助日常工作带来便利。但随着互联紧密度的增高，物联网设备的安全性问题也逐渐影响到人们的正常生活，甚至生命安全，物联网设备安全不容小觑。 以下为近日的物联网安全新闻内容。
罗氏医疗器械曝多个漏洞，可能会危及患者人身安全
由瑞士健康事业公司罗氏（Roche）医疗诊断部门生产的几款医疗器械中存在多个安全漏洞，可能会让患者的人身安全面临风险。
来自以色列医疗设备安全企业Medigate的安全研究人员Niv Yehezkel发现，由罗氏生产的三款医疗器械存在五个安全漏洞。总的来说，这些漏洞会影响到Accu-Chek血糖仪、抗凝治疗医疗专业人员使用的CoaguChek凝血检测仪以及Cobas便携式手持血液分析仪。
在美国工业互联网安全应急响应中心（ICS-CERT）最近发布的一份咨询中，我们可以找到所有易受攻击的产品和版本的详细信息。值得注意的是，每一个漏洞都会影响罗氏医疗器械的多个型号和版本。
接下来，就让我们来看看详细的漏洞信息，以及它们所对应的医疗器械型号和版本。
第一个漏洞：CVE-2018-18561
漏洞描述：弱访问凭证漏洞，允许攻击者可以通过服务接口来获得未经授权的服务访问。
CVSS v3评分：6.5
受影响产品型号和版本：
♣ Accu-Chek Inform II Base Unit / Base Unit Hub–03.01.04之前的所有版本
♣ CoaguChek / cobas h232 Handheld Base Unit–03.01.04之前的所有版本
第二个漏洞：CVE-2018-18562
漏洞描述：OS命令注入漏洞，服务接口中的不安全权限允许通过身份验证的攻击者在操作系统上执行任意命令。
CVSS v3评分：8.0
受影响产品型号和版本：
♣ Accu-Chek Inform II Base Unit / Base Unit Hub–03.01.04之前的所有版本
♣ CoaguChek / cobas h232 Handheld Base Unit–03.01.04之前的所有版本
第三个漏洞：CVE-2018-18563
漏洞描述：任意文件覆盖漏洞，软件更新机制中的漏洞允许攻击者通过精心设计的更新包覆盖系统上的任意文件。
CVSS v3评分：8.0
受影响产品型号和版本：
♣ CoaguChek Pro II–04.03.00之前的所有版本
♣ CoaguChek XS Plus–03.01.06之前的所有版本
♣ CoaguChek XS Pro–03.01.06之前的所有版本
♣ cobas h 232–03.01.03之前的所有版本（序列号低于KQ0400000或KS0400000）
♣ cobas h 232–04.00.04之前的所有版本（序列号低于KQ0400000或KS0400000）
第四个漏洞：CVE-2018-18564
漏洞描述：任意代码执行漏洞，对服务命令的不正确访问控制允许攻击者通过精心制作的消息在系统上执行任意代码。
CVSS v3评分：8.3
受影响产品型号和版本：
♣ Accu-Chek Inform II Instrument–03.06.00之前的所有版本（序列号低于14000）/ 04.03.00之前的所有版本（序列号高于14000）
♣ CoaguChek Pro II–04.03.00之前的所有版本
♣ cobas h 232–04.00.04之前的所有版本（序列号高于KQ0400000或KS0400000）
第五个漏洞：CVE-2018-18565
漏洞描述：配置任意修改漏洞，不正确的访问控制允许攻击者更改仪器配置。
CVSS v3评分：8.2
受影响产品型号和版本：
♣ Accu-Chek Inform II Instrument–03.06.00之前的所有版本（序列号低于14000）/ 04.03.00之前的所有版本（序列号高于14000）
♣ CoaguChek Pro II–04.03.00之前的所有版本
♣ CoaguChek XS Plus–03.01.06之前的所有版本
♣ CoaguChek XS Pro–03.01.06之前的所有版本
♣ cobas h 232–03.01.03之前的所有版本（序列号低于KQ0400000或KS0400000）
♣ cobas h 232–04.00.04之前的所有版本（序列号低于KQ0400000或KS0400000）
详文阅读：
https://www.hackeye.net/threatintelligence/17203.aspx
思科曝软件拒绝服务漏洞，工业安全设备、防火墙等多款产品受影响
思科（Cisco）在上周公开披露了一个严重的安全漏洞，该漏洞可能会触发受影响设备的重启，也就是说它为攻击者执行拒绝服务（DoS）攻击创造了条件。
根据思科安全咨询的描述，这个漏洞存在于均支持会话启动协议（SIP）的思科自适应安全设备（ASA）软件和Firepower威胁防御（FTD）软件中，使得运行这两款软件的设备易受到未经身份验证的远程攻击，导致设备重启或保持高CPU占用率，从而导致设备崩溃。
目前，没有针对该漏洞的修复补丁或解决方案可用，但思科在其安全咨询中还是提供了几种方法，可以用作临时的缓解措施。
这个漏洞被标识为CVE-2018-15454，存在于ASA和FTD软件中默认开启的SIP协议检查引擎中。
如果没有导致设备重启或崩溃，也会导致设备保持在一个很高的CPU使用率，进而导致设备运行速度降低，无法完成一些设定的任务。
根据思科发布的安全咨询，该漏洞可以被远程利用，而且不需要身份验证。
详文阅读：
https://www.hackeye.net/threatintelligence/17122.aspx
思科发现易家相机多个漏洞
思科发现易家摄相机的27US版本使用的固件中存在多个漏洞，这些漏洞可能允许在连接的设备上远程执行代码。这个版本是在美国最畅销的物联网相机型号之一。它是一款入门级设备，可以让用户在任何地方查看相机内的资料，具备离线存储和云存储功能。
固件中的五个漏洞为命令注入、网络身份验证旁路、禁用设备等攻击打开了“方便之门”，带来的负面影响是组织摄像机录制活动、删除存储视频、拦截视频主题输入。研究人员还表示，恶意攻击者可以对设备主人的手机应用程序发起攻击，或者利用相机作为攻击家庭网络中其他设备的支点，妥协用户的笔记本电脑、智能电视和平板电脑。
而另外五个漏洞需要物理访问才能成功利用，如果相机在安全范围内则不必担心这些漏洞被恶意利用。
详文阅读：
https://www.hackeye.net/securityevent/17090.aspx
大疆无人机曝安全漏洞，可供黑客窥探用户数据
在本周，来自网络安全公司Check Point的研究人员Oded Vanun、Dikla Barda和Roman Zaikin公开披露了DJI（大疆）无人机Web应用程序中的一个高危漏洞的完整细节。如果该漏洞被利用，那么它将授予攻击者访问用户DJI帐户和下载敏感数据的权限。
根据Check Point的说法，能够被攻击者访问的敏感数据可能包括飞行日志、拍摄的照片和视频、实时视频摄像头视图和用户个人资料等，具体如下：
♣ 如果DJI用户已经与DJI的云服务器同步，那么在无人机飞行期间生成的飞行日志、照片和视频是能够被访问的。（飞行日志包含无人机在整个飞行过程中的确切位置，以及在飞行过程中拍摄的照片和视频的预览。）
♣ 如果DJI用户正在使用DJI的FlightHub飞行管理软件，那么无人机飞行期间的实时摄像头视图和地图视图是能够被访问的。
♣ 其他与DJI用户帐户相关的信息，包括用户的个人资料。
漏洞的利用从DJI Forum开始，这是由大疆公司运营的一个用于讨论其产品的在线论坛。如果用户登录了DJI Forum，并点击了一个由攻击者植入的恶意链接，那么其登录凭证就可能将会遭到窃取，进而允许攻击者访问该用户的其他大疆在线资产，比如：
♣ DJI的网络平台（账户、商店、论坛）
♣ 从DJI GO或DJI GO 4应用程序同步的云服务器数据
♣ DJI的FlightHub（集中式无人机操作管理平台）
详文阅读：
https://www.hackeye.net/securitytetchnology/appsec/17182.aspx
思科交换机中存在默认账户，可导致设备遭远程攻击
思科小企业交换机中存在一个默认账户，可导致远程攻击者获取对易受攻击设备的完全访问权限。思科尚未发布补丁，不过已存在应变措施。
思科表示，运行任意软件版本的小企业交换机中均存在一个供首次登录使用的默认账户。该账户具有完整的管理员权限，无法从系统中删除。
如果管理员至少配置了另外一个访问权限为15级（相当于根/管理员，可完全访问交换机）的用户账户，那么账户被禁用。然而，如果没有配置15级的账户或者已存在的15级账户被删除，那么默认账户就会被重新启用，而管理员不会得到通知。
恶意人员能够利用这个账户登录到设备，以完整的管理员权限执行任意命令。
Two SigmaInvestments LP公司的研究员 Thor Simon 将该漏洞 (CVE-2018-15439) 告知思科公司。思科表示尚未发现试图利用该漏洞实现恶意目的的情况。
受影响产品
该漏洞影响思科小企业 200、300 和500 系列的交换机，思科250 和350 系列的智能交换机，以及思科 350X 和 550X 系列的 管理交换机。思科表示，思科220系列的智能交换机并不受影响。
在思科发布补丁之前，建议用户在设备中至少配置一个具有15级权限的另外一个用户账户。思科在安全公告中包含了关于如何配置这类账户的详细说明。
详文阅读：
http://codesafe.cn/index.php?r=news/detail&id=4557