严重的RCE漏洞导致数以千计的工业物联网设备遭受网络攻击

研究人员发现，三个工业蜂窝路由器供应商的云管理平台中的 11 个漏洞使操作技术 (OT) 网络面临远程代码执行的风险，即使该平台未主动配置为云管理也是如此。

这些漏洞非常严重，即使它们只影响来自三个供应商的设备:Sierra Wireless AirLink、Teltonika Networks RUT 和 InHand Networks InRouter，它们也可能影响各个领域的数千个工业物联网 (IIoT) 设备和网络。

破坏这些设备可以绕过常见部署中的所有安全层，因为工业物联网设备通常同时连接到互联网和内部 OT 网络。

它还增加了通过内置 VPN 传播到其他站点的额外风险。

如果攻击者实现与内部 OT 环境的直接连接，也可能会对整个物理环境中的用户的生产和安全风险产生影响。

此外，攻击者有许多途径可以利用这些漏洞，包括通过反向 shell 获得 root 访问权限;破坏生产网络中的设备，以促进未经授权的访问和 root 权限控制;破坏设备以泄露敏感信息并执行关机等操作。

上周在Black Hat Asia 2023上分享了有关漏洞的主要发现和补救技巧，该公司还发布了一份与 Dark Reading 分享的报告。

所有漏洞都是在与供应商和 CISA 的协调下负责任地披露的，并且已被供应商缓解。

工业蜂窝路由器允许多个设备从蜂窝网络连接到互联网。

研究人员表示，这些路由器通常用于工业环境，例如制造工厂或石油钻井平台，传统的有线互联网连接可能不可用或不可靠。

工业蜂窝路由器和网关已经成为 IIoT 领域中最普遍的组件之一，它们提供广泛的连接功能，可以无缝集成到现有环境和解决方案中，只需进行最少的修改。

这些设备的供应商使用云平台为客户提供跨越其 OT 网络的远程管理、可扩展性、分析和安全性。

研究人员发现了各种与 IIoT 设备和基于云的管理平台之间的连接有关的漏洞，在某些设备中，这些漏洞是默认启用的。

这些漏洞可以在各种情况下被利用，影响在远程管理平台上注册和未注册的设备，从本质上讲，这意味着某些设备连接到基于云的管理平台的默认设置存在安全漏洞，而这些漏洞可能成为攻击者的目标。

与这些平台的典型连接依赖于机器对机器 (M2M) 协议，例如用于设备云通信的 MQTT 以及用于用户管理的 Web 界面。

MQTT 在发布-订阅模型上运行，代理管理主题，设备可以订阅以接收发布的信息。

专门的设备 API 也常用于与云平台的初始化通信，以及用于设备管理的用户 API 和 Web 界面。

研究人员确定了这种连接的三个关键领域中各种攻击媒介可以利用的关键问题：资产注册过程、安全配置以及外部 API 和 Web 界面。

攻击者可以利用WiGLE 等来源和信息泄露漏洞(例如 InHand 设备中发现的)来针对特定设施，或者对数千台设备进行广泛攻击，以扩大影响或访问范围。

此外，利用这些漏洞可能会让攻击者干扰操作流程，从而危及在该环境中工作的人员的安全。

研究人员表示，一种对勒索软件团体(正在加剧工业网络攻击)特别有价值的攻击媒介是到达初始接入点以外的站点，这些站点由于设备的内置 VPN 连接而处于危险之中。

这可以让攻击传播到更广泛的网络，到达控制中心和 SCADA(监督控制和数据采集)服务器。

研究人员为 OT 网络管理员和这些设备的供应商概述了一些缓解策略。

研究人员建议，如果 OT 网络管理员不积极使用路由器进行云管理，他们应该禁用任何未使用的云功能，以防止设备接管并减少攻击面。

在连接到互联网之前，他们还应在云平台中以自己的帐户注册设备。研究人员说，这建立了所有权和控制权，并防止未经授权的访问。

此外，研究人员表示，管理员可以限制从 IIoT 设备到路由器的直接访问，因为 VPN 隧道和防火墙等内置安全功能一旦受到威胁就失效了。

添加单独的防火墙和 VPN 层可以帮助定界并降低用于远程连接的暴露 IIoT 设备的风险。

研究人员建议，供应商可以通过避免使用弱标识符并在设备注册和连接建立期间使用额外的“秘密”标识符来避免在他们的设备中构建漏洞。

他们还应该强制执行初始凭证设置，以便网络运营商避免使用默认凭证，从而避免立即将安全风险引入网络。

此外，研究人员警告说，IIoT 的安全要求是独一无二的，应与 IoT 足迹分开考虑，因为两者并不等同。

这可能涉及根据需要减少‘高风险’功能，并添加额外的身份验证、加密、访问控制和监控层。

原文来源：网络研究院