研究人员发现并解决了 Contiki-NG 中的三个关键漏洞,Contiki-NG 是一种流行的物联网 (IoT) 设备开源操作系统。这些漏洞可让攻击者使设备崩溃或执行恶意代码。
Contiki-NG 专为资源有限的低功耗设备而设计,是工业控制系统、智能家居和可穿戴设备等应用的常见选择。此次发现的漏洞会影响 Contiki-NG 4.9(含 4.9)以下的版本。
这些漏洞包括:
- CVE-2024-41125 (CVSS 8.4): 简单网络管理协议 (SNMP) 模块中的越界读取漏洞。“公告解释说:”向运行启用 SNMP 的 Contiki-NG 操作系统的设备发送数据包时,可能会触发 1 字节的越界读取。该漏洞可让攻击者从内存中读取敏感信息。
- CVE-2024-47181(CVSS 7.5): 低功耗和有损网络路由协议 (Routing Protocol for Low-Power and Lossy Networks, RPL) 实现中的未对齐内存访问漏洞。“公告称:”如果 IPv6 数据包在 RPL 选项前包含奇数填充字节,则可能导致 rpl_ext_header_hbh_update 函数从奇数地址读取 16 位整数。该漏洞可能导致系统崩溃。
- CVE-2024-41126 (CVSS 8.4): SNMP 模块中的另一个越界读取漏洞。该漏洞发生在解码信息时,“向运行启用了 SNMP 的 Contiki-NG 操作系统的设备发送数据包时可能触发”。与 CVE-2024-41125 类似,该漏洞可允许攻击者提取敏感数据。
虽然SNMP模块在Contiki-NG中默认是禁用的,但强烈建议已启用该模块的开发人员更新他们的系统。CVE-2024-41125和CVE-2024-41126的补丁已分别在Contiki-NG拉取请求#2936和#2937中提供。
针对 CVE-2024-47181 的补丁在 #2962 拉取请求中提供,并将包含在下一个 Contiki-NG 版本中。在此期间,开发人员可以手动应用该补丁来缓解该漏洞。
随着物联网设备的日益普及,开发人员和用户必须优先考虑安全最佳实践,并及时应用更新以减轻潜在威胁。
发表评论
您还未登录,请先登录。
登录