全球網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者Forescout今天發(fā)布了《SIERRA:21——生活在邊緣》(SIERRA:21 – Living on the Edge)，分析了在OT/IoT路由器和開源軟件組件中新發(fā)現(xiàn)的21個漏洞。該報(bào)告由致力于發(fā)現(xiàn)關(guān)鍵基礎(chǔ)設(shè)施漏洞的全球領(lǐng)先團(tuán)隊(duì)Forescout Research – Vedere Labs編寫，強(qiáng)調(diào)了關(guān)鍵基礎(chǔ)設(shè)施面臨的持續(xù)風(fēng)險(xiǎn)，并揭示了可能的緩解措施。
本新聞稿包含多媒體。此處查看新聞稿全文： https://www.businesswire.com/news/home/20231205466141/zh-CN/
《SIERRA:21——生活在邊緣》介紹了對Sierra Wireless AirLink蜂窩路由器及其一些開源組件（如TinyXML和OpenNDS）的研究。Sierra Wireless路由器很受歡迎，一個Wi-Fi網(wǎng)絡(luò)開放數(shù)據(jù)庫顯示，全球有24.5萬個網(wǎng)絡(luò)在各種應(yīng)用中使用Sierra Wireless。例如，Sierra Wireless路由器用于警車與中央網(wǎng)絡(luò)管理系統(tǒng)的連接或流式監(jiān)控視頻、制造廠的工業(yè)資產(chǎn)監(jiān)控、醫(yī)療設(shè)施的臨時(shí)連接，以及管理電動汽車充電站。這21個新漏洞有可能導(dǎo)致重要通信中斷，從而影響日常生活。
閱讀博客：Forescout Vedere Labs披露21個影響OT/IoT路由器的新漏洞
Forescout Research進(jìn)一步發(fā)現(xiàn)：
攻擊面非常廣闊，目前仍有8.6萬臺易受攻擊的路由器暴露在網(wǎng)絡(luò)上。在這些路由器中，只有不到10%已確認(rèn)針對2019年以來發(fā)現(xiàn)的已知過往漏洞打了補(bǔ)丁。
暴露設(shè)備數(shù)量最多的地區(qū)包括：
美國：68,605臺設(shè)備
加拿大：5580臺設(shè)備
澳大利亞：3853臺設(shè)備
法國：2329臺設(shè)備
泰國：1001臺設(shè)備
在這21個漏洞中，1個為極其嚴(yán)重（CVSS得分為9.6），9個為高度嚴(yán)重，11個為中度嚴(yán)重。這些漏洞允許攻擊者竊取憑證，通過注入惡意代碼控制路由器。這些漏洞在設(shè)備上持續(xù)存在，并將路由器作為進(jìn)入關(guān)鍵網(wǎng)絡(luò)的初始接入點(diǎn)。
打補(bǔ)丁并不能解決所有問題。90%暴露于特定管理界面的設(shè)備已達(dá)到報(bào)廢年限，這意味著無法再打補(bǔ)丁。
確保供應(yīng)鏈組件安全是一場艱苦的戰(zhàn)斗。開源軟件組件繼續(xù)未經(jīng)檢查，增加了關(guān)鍵設(shè)備的攻擊面，導(dǎo)致企業(yè)可能難以跟蹤和緩解的漏洞。
Forescout Research – Vedere Labs研究副總裁Elisa Constante建議道：“我們今天敲響警鐘，因?yàn)槿杂谐汕先f的OT/IoT設(shè)備在增加攻擊面，需要引起重視。影響關(guān)鍵基礎(chǔ)設(shè)施的漏洞就像一扇敞開的窗戶，讓每個社區(qū)的不良行為者可以隨意進(jìn)出。國家支持的行動人士正在開發(fā)定制惡意軟件，利用路由器進(jìn)行持久性攻擊和間諜活動。網(wǎng)絡(luò)犯罪分子也在利用路由器和相關(guān)基礎(chǔ)設(shè)施來設(shè)置住宅代理，并將其加入僵尸網(wǎng)絡(luò)。我們的發(fā)現(xiàn)再次證明，有必要提高對經(jīng)常被忽視的OT/IoT邊緣設(shè)備的認(rèn)識。”
Sierra Wireless和OpenDNS已針對發(fā)現(xiàn)的漏洞發(fā)布了補(bǔ)丁。TinyXML是一個已被放棄的開源項(xiàng)目，因此上游漏洞不會得到修復(fù)，必須在下游解決。
如需了解更多信息，請立即下載完整報(bào)告《SIERRA:21——生活在邊緣》，網(wǎng)址：https://www.forescout.com/resources/sierra21-vulnerabilities。
其他資源：
觀看點(diǎn)播網(wǎng)絡(luò)研討會：https://www.brighttalk.com/central/account/616385/channel/13809/video/602171
閱讀來自Forescout Research的更多見解：激進(jìn)黑客攻擊美國水處理廠——分析與影響
關(guān)于Forescout
Forescout Technologies, Inc.是全球網(wǎng)絡(luò)安全領(lǐng)域的領(lǐng)導(dǎo)者，可持續(xù)識別、保護(hù)并幫助確保所有托管和非托管連接網(wǎng)絡(luò)資產(chǎn)（IT、IoT、IoMT和OT）的合規(guī)性。20多年來，《財(cái)富》100強(qiáng)組織和政府機(jī)構(gòu)一直相信Forescout能夠大規(guī)模提供與供應(yīng)商無關(guān)的自動化網(wǎng)絡(luò)安全管理服務(wù)。Forescout®平臺提供了網(wǎng)絡(luò)安全、風(fēng)險(xiǎn)和暴露情況管理以及經(jīng)擴(kuò)展的檢測和響應(yīng)等全面功能。它通過生態(tài)系統(tǒng)合作伙伴實(shí)現(xiàn)無縫的上下文共享和工作流協(xié)調(diào)，使客戶能夠更有效地管理網(wǎng)絡(luò)風(fēng)險(xiǎn)并減輕威脅。
免責(zé)聲明：本公告之原文版本乃官方授權(quán)版本。譯文僅供方便了解之用，煩請參照原文，原文版本乃唯一具法律效力之版本。
在 businesswire.com 上查看源版本新聞稿: https://www.businesswire.com/news/home/20231205466141/zh-CN/
CONTACT:
Steve Bosk
W2 Communications（代表Forescout）
forescout@w2comm.com
Carmen Harris
carmen.harris@forescout.com
Sierra:21信息圖表（來源：Forescout）
Sierra:21信息圖表（來源：Forescout）
