CDIC 2023

Mandiant FireEye เผยช่องโหว่บนแพลตฟอร์ม IoT คาดกระทบอุปกรณ์ IP camera หลายสิบล้านตัว

แพลตฟอร์มของ IoT ที่ว่าคือ Kalay cloud platform จากบริษัทสัญชาติไต้หวัน ThroughTek โดยระบบถูกใช้เป็นส่วนบริหารจัดการ Smart home, IP Camera และ Cloud Storage มากมาย

credit : BleepingComputer

ช่องโหว่ที่ Madiant FireEye พบคือ CVE-2021-28372 ซึ่งมีคะแนนความร้ายแรงระดับ 9.6/10 ปัจจัยสำคัญก็คือขั้นตอนการลงทะเบียนอุปกรณ์บนแพลตฟอร์ม Kalay สามารถทำได้โดยอาศัยเพียง Unique Identifier (UID) ตัวเดียวเท่านั้น หมายความว่าหากแฮ็กเกอร์สามารถได้มาซึ่ง UID ก็สามารถเข้าไปลงทะเบียนอุปกรณ์ได้ จากนั้นก็รอเพียงเหยื่อมาเชื่อมต่ออุปกรณ์และได้รับข้อมูลเพื่อก่อเหตุในขั้นตอนต่อไป เช่น เข้ามาแอบดู video stream ของเหยื่อเป็นต้น โดยแฮ็กเกอร์ต้องมีความเข้าใจในรูปแบบของโปรโตคอลใน Kalay แต่ก็คงไม่ใช่เรื่องยากนัก

ทีมงานได้สาธิตช่องโหว่ไว้ดังวีดีโอด้านล่าง

สำหรับการป้องกัน ThroughTek ได้ออกแพตช์ ThroughTek SDK v3.1.10 พร้อมทั้งกำชับให้ผู้ใช้งานเปิดใช้ AuthKey และ DTLS ควบคู่กันเพื่อป้องกันข้อมูลระหว่างส่งด้วย โดยที่ความน่ากังวลคือ Kalay มีการใช้งานจากอุปกรณ์กว่า 80 ล้านตัวและการเชื่อมต่อมากกว่า 1 พันล้านครั้งต่อเดือน นอกจากนี้ไม่รู้ว่ามีผู้ผลิตรายไหนอาศัยแพลตฟอร์มนี้บ้าง

ที่มา : https://www.bleepingcomputer.com/news/security/critical-bug-impacting-millions-of-iot-devices-lets-hackers-spy-on-you/ และ https://www.securityweek.com/millions-iot-devices-exposed-attacks-due-cloud-platform-vulnerability


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

AIS ตอกย้ำความเป็นผู้นำโซลูชันดิจิทัลเพื่อขับเคลื่อนทุกธุรกิจ จับมือซิสโก้เสริมศักยภาพให้ SME ด้วย Next-Gen Wi-Fi 6 ครั้งแรกในไทย

เมื่อระบบเครือข่ายไร้สาย เป็นโครงสร้างพื้นฐานสำคัญที่ช่วยขับเคลื่อน กลุ่มธุรกิจขนาดกลางและขนาดย่อม หรือ SME ให้ก้าวไปข้างหน้า และพร้อมรับมือกับทุกความท้าทายทางธุรกิจ อย่างไรก็ตาม การเลือกเทคโนโลยีที่มีประสิทธิภาพ คุ้มค่ากับการลงทุน และพร้อมขยายตัวตามการเติบโต อาจเป็นเรื่องยากในการตัดสินใจ และมีเกณฑ์การพิจารณาเลือกใช้งานมากมาย ขณะเดียวกันโซลูชันที่ออกแบบมาเพื่อใช้งานในเชิงธุรกิจ ก็ตามมาด้วยขั้นตอนการติดตั้งที่ซับซ้อน …

TechTalk Webinar: Data Observability by IBM Databand – Deliver Reliable and Trustworthy Data

ขอเชิญทุกท่านเข้าร่วมงานสัมมนาออนไลน์ในหัวข้อ “Data Observability by IBM Databand : Deliver Reliable and Trustworthy Data” โดยทีมงาน Computer Union …