IoT和OT设备中曝25个RCE漏洞
这25个安全漏洞被统称为 BadAlloc，是由内存分配整数溢出(IntegerOverflow)或环绕错误(Wraparound)引起的。攻击者可以利用这些漏洞导致系统奔溃，并在受感染的IoT和OT系统上远程执行恶意代码。
Microsoft的研究人员在多个实时操作系统(RTOS)、C标准库(libc)实现和嵌入式软件开发工具包(SDK)里被广泛使用的标准内存分配功能中发现了这些漏洞。微软安全响应中心团队表示：作为物联网设备和嵌入式软件的一部分，多年来编写的内存分配实现并未进行适当的输入验证，导致攻击者可以利用内存分配功能来执行堆溢出，从而在目标设备上执行恶意代码。
“ BadAlloc”示例如下：
容易受到BadAlloc攻击的设备
易受BadAlloc漏洞攻击的IoT和OT设备主要在消费、医疗和工业网络上。 受影响的设备完整列表如下：
- Amazon FreeRTOS 10.4.1
- Apache Nuttx OS 9.1.0
- ARM CMSIS-RTOS2 2.1.3之前的版本
- ARM Mbed OS 6.3.0
- ARM mbed-uallaoc 1.3.0
- Cesanta Software Mongoose OS v2.17.0
- eCosCentric eCosPro RTOS 2.0.1至4.5.3版本
- Google Cloud IoT设备SDK 1.0.2
- Linux Zephyr RTOS 2.4.0之前的版本
- Media Tek LinkIt SDK 4.6.1之前的版本
- Micrium OS 5.10.1及更低版本
- Micrium uCOS II / uCOS III 1.39.0及更低版本
- NXP MCUXpresso SDK 2.8.2之前的版本
- NXP 浦MQX 5.1及更低版本
- Redhat newlib 4.0.0之前的版本
- RIOT OS 2020.01.1
- Samsung Tizen RT RTOS 3.0.GBB之前的版本
- TencentOS-tiny 3.1.0
- 德州仪器(TI)CC32XX 4.40.00.07之前的版本
- 德州仪器(TI)SimpleLink MSP432E4XX
- 德州仪器(TI)SimpleLink-CC13XX 4.40.00之前的版本
- 德州仪器(TI)SimpleLink-CC26XX 4.40.00之前的版本
- 德州仪器(TI)SimpleLink-CC32XX 4.10.03之前的版本
- Uclibc-NG 1.0.36之前的版本
- Windriver VxWorks 7.0之前的版本
缓解措施
目前，漏洞已经报告给了CISA与相关供应商。虽然暂时未发现相关漏洞的野外利用，但为了降低利用风险，CISA建议组织进行以下操作：
- 应用可用的供应商更新。
- 减少所有控制系统设备及其系统的网络暴露，并确保不能从Internet访问它们。
- 把控制系统网络和远程设备置于防火墙之后，并将其与业务网络隔离。
- 需要远程访问时，使用虚拟专用网等安全方法。
如果无法立即修补易受攻击的设备，Microsoft建议：
- 最大程度地减少或消除易受攻击的设备在互联网上的暴露
- 实施网络安全监控，检测危害的行为指标;
- 加强网络分段以保护关键资产。
参考来源：bleepingcomputer
推荐系统
番茄花园Ghost Win7 x64 SP1稳定装机版2022年7月(64位) 高速下载
语言：中文版系统大小：3.91GB系统类型：Win7欢迎使用 番茄花园 Ghost Win7 x64 SP1 2022.07 极速装机版 专业装机版具有更安全、更稳定、更人性化等特点。集成最常用的装机软件，集成最全面的硬件驱动，精心挑选的系统维护工具，加上独有人性化的设计。是电脑城、个人、公司快速装机之首选！拥有此系统
番茄花园 Windows 10 极速企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言：中文版系统大小：3.98GB系统类型：Win10番茄花园 Windows 10 32位极速企业版 v2022年7月 一、系统主要特点： 使用微软Win10正式发布的企业TLSB版制作； 安装过程全自动无人值守，无需输入序列号，全自动设置； 安装完成后使用Administrator账户直接登录系统，无需手动设置账号。 安装过程中自动激活
新萝卜家园电脑城专用系统 Windows10 x86 企业版 版本1507 2022年7月(32位) ISO镜像高速下载
语言：中文版系统大小：3.98GB系统类型：Win10新萝卜家园电脑城专用系统 Windows10 x86企业版 2022年7月 一、系统主要特点： 使用微软Win10正式发布的企业TLSB版制作； 安装过程全自动无人值守，无需输入序列号，全自动设置； 安装完成后使用Administrator账户直接登录系统，无需手动设置账号。 安装过程
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(32位) ISO镜像快速下载
语言：中文版系统大小：3.98GB系统类型：Win10笔记本台式机专用系统 Windows 10 32位企业版 v2022年7月 一、系统主要特点： 使用微软Win10正式发布的企业TLSB版制作； 安装过程全自动无人值守，无需输入序列号，全自动设置； 安装完成后使用Administrator账户直接登录系统，无需手动设置账号。 安装过
笔记本&台式机专用系统 Windows10 企业版 版本1903 2022年7月(64位) 提供下载
语言：中文版系统大小：3.98GB系统类型：Win10笔记本台式机专用系统 Windows10 64专业版 v2022年7月 一、系统主要特点： 使用微软Win10正式发布的专业版制作； 安装过程全自动无人值守，无需输入序列号，全自动设置； 安装完成后使用Administrator账户直接登录系统，无需手动设置账号。 安装过程中自动
雨林木风 Windows10 x64 企业装机版 版本1903 2022年7月(64位) ISO镜像高速下载
语言：中文版系统大小：3.98GB系统类型：Win10新雨林木风 Windows10 x64 企业装机版 2022年7月 一、系统主要特点： 使用微软Win10正式发布的企业TLSB版制作； 安装过程全自动无人值守，无需输入序列号，全自动设置； 安装完成后使用Administrator账户直接登录系统，无需手动设置账号。 安装过程中自动激活
深度技术 Windows 10 x64 企业版 电脑城装机版 版本1903 2022年7月(64位) 高速下载
语言：中文版系统大小：3.98GB系统类型：Win10深度技术 Windows 10 x64 企业TLSB 电脑城装机版2022年7月 一、系统主要特点： 使用微软Win10正式发布的企业TLSB版制作； 安装过程全自动无人值守，无需输入序列号，全自动设置； 安装完成后使用Administrator账户直接登录系统，无需手动设置账号。 安装过程
电脑公司 装机专用系统Windows10 x64 企业版2022年7月(64位) ISO镜像高速下载
语言：中文版系统大小：3.98GB系统类型：Win10电脑公司 装机专用系统 Windows10 x64 企业TLSB版2022年7月一、系统主要特点： 使用微软Win10正式发布的企业TLSB版制作； 安装过程全自动无人值守，无需输入序列号，全自动设置； 安装完成后使用Administrator账户直接登录系统，无需手动设置账号。 安装过
相关文章
- 企业面临这些网络攻击风险，却很少采取预防措施？
- 又一P1故障，锅比脸圆
- 美国最大的油气管道公司遭网络攻击后关闭输送管道
- Equinix遭勒索软件袭击，黑客要求支付455BTC赎金
- 监管机构将调查Clubhouse是否遵守隐私法规
- 从逆向角度看证书覆盖安装漏洞
- 改善医疗保健中的网络安全时需要考虑的因素
- 微盟删库事故启示录
- DoppelPaymer勒索软件的最新攻击趋势总结
- 勒索软件团伙利用 7-zip 在 5 天内赚取 26 万美元
- FireEye出资1.86亿美元收购Respond Software
- McAfee以40亿美金卖掉企业级网络安全业务
- 一旦所有个人隐私都泄漏公开将发生什么？
- 在冠状病毒疫情蔓延下 企业如何应对安全威胁
热门系统
- 1华硕笔记本&台式机专用系统 GhostWin7 32位正式旗舰版2018年8月(32位)ISO镜像下载
系统大小：3.13GB系统类型：Win7 - 2深度技术 Windows 10 x86 企业版 电脑城装机版2018年10月(32位) ISO镜像免费下载
系统大小：3.98GB系统类型：Win10 - 3电脑公司 装机专用系统Windows10 x86喜迎国庆 企业版2020年10月(32位) ISO镜像快速下载
系统大小：3.98GB系统类型：Win10 - 4雨林木风 Ghost Win7 SP1 装机版 2020年4月(32位) 提供下载
系统大小：3.13GB系统类型：Win7 - 5深度技术 Windows 10 x86 企业版 六一节 电脑城装机版 版本1903 2022年6月(32位) ISO镜像免费下载系统大小：3.98GB系统类型：Win10
- 6深度技术 Windows 10 x64 企业版 电脑城装机版2021年1月(64位) 高速下载系统大小：3.98GB系统类型：Win10
- 7新萝卜家园电脑城专用系统 Windows10 x64 企业版2019年10月(64位) ISO镜像免费下载
系统大小：3.98GB系统类型：Win10 - 8新萝卜家园 GhostWin7 SP1 最新电脑城极速装机版2018年8月(32位)ISO镜像下载
系统大小：3.13GB系统类型：Win7 - 9电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载
系统大小：3.45GB系统类型：Win8 - 10新萝卜家园Ghost Win8.1 X32 最新纯净版2018年05(自动激活) ISO镜像免费下载
系统大小：3.45GB系统类型：Win8
热门文章
- 1迅雷云播“手机看片神器”使用教程(随时随地秒速离线云播放)
- 2Win10怎么设置网络按流量计费 Win10网络设置流量收费教程
- 3微信公众号怎么年审? 微信公众号年审流程及所需材料介绍
- 4二手笔记本电脑价格是多少 二手笔记本电脑价格盘点
- 5高通骁龙8cx怎么样 高通骁龙8cx处理器详细介绍
- 6win7蓝屏代码7f指什 怎么解决 很严重
- 7aoc一体机电脑win10改win7系统及bios设置
- 8Steam提示“需要在线进行更新，请确认您的网络连接正常”怎么办？
- 9安卓手机安装运行win7系统教程 安卓手机装win7系统教程
- 10华硕b460主板装win7系统及bios设置教程 10代CPU安装Win7教程 BIOS设置 U盘启动 完美支持USB驱动
常用系统
- 1电脑公司Ghost Win7 Sp1 装机万能版2020年12月(32位) 提供下载
系统大小：3.13GB系统类型：Win7 - 2新萝卜家园Ghost Win8.1 X64位 纯净版2019年1月(自动激活) ISO镜像免费下载
系统大小：3.96GB系统类型：Win8 - 3番茄花园Ghost Win7 x64 SP1稳定装机版2020年4月(64位) 高速下载系统大小：3.91GB系统类型：Win7
- 4番茄花园 Ghost XP SP3 海量驱动装机版 2020年11月 ISO镜像高速下载
系统大小：3.96GB系统类型：WinXP - 5电脑公司Ghost Win8.1 x32 精选纯净版2022年5月(免激活) ISO镜像高速下载系统大小：3.45GB系统类型：Win8
- 6新萝卜家园电脑城专用系统 Windows10 x64 中秋特别 企业版2020年9月(64位) ISO镜像免费下载系统大小：3.98GB系统类型：Win10
- 7番茄花园Ghost Win7 x64 SP1稳定装机版2020年8月(64位) 高速下载系统大小：3.91GB系统类型：Win7
- 8笔记本&台式机专用系统GhostWin7 64位中秋特别 旗舰版2020年9月(64位) 高速下载
系统大小：3.91GB系统类型：Win7 - 9华硕笔记本&台式机专用系统 Windows10 企业正式版下载 2018年8月(32位)
系统大小：3.98GB系统类型：Win10 - 10笔记本&台式机专用系统 Windows10 企业版 2019年12月(32位) ISO镜像快速下载系统大小：3.98GB系统类型：Win10