物联网云平台 OvrC 曝一系列漏洞，黑客可远程执行恶意代码

直播吧9月29日讯欧足联公布本轮欧冠阿森纳vs巴黎、勒沃库森vs米兰的裁判组安排。阿森纳vs巴黎裁判组主裁判斯拉夫科-温契奇（斯洛文尼亚）助理裁判托马兹-克兰奇克（斯洛文尼亚）安德拉兹-科瓦契奇（斯洛文尼亚）第四官员拉德-奥布雷诺维奇（斯洛文尼亚）*助理裁判内杰茨-卡伊塔佐维奇（斯洛文尼亚）助理*助理裁判托马什-科维亚托夫斯基（波兰）勒沃库森vs米兰裁判组主裁判桑德罗-沙雷尔（瑞士）助理裁判斯特凡-德阿尔梅达（瑞士）乔纳斯-厄尔尼（瑞士）第四官员利昂内尔-楚迪（瑞士）*助理裁判费达伊-桑（瑞士）助理*助理裁判波尔-范博克尔（荷兰）10月2日3点，阿森纳vs巴黎以及勒沃库森vs米兰将同时开打。

IT之家 11 月 16 日消息，安全公司 Claroty 发布报告，曝光了一款海外流行的物联网设备云端管理 Ovr 内含的一系列重大漏洞。安全公司声称黑客可以接连利用这些漏洞实现在物联网设备上远程执行恶意代码，而根据 CVSS 风险评估，部分曝光的漏洞风险 高达 9.2（满分 10 分）。

据悉，OvrC 物联网 的主要功能是通过移动应用或基于 Web Socket 的界面为用户提供远程配置管理、运行状态监控等服务。自动化公司 SnapOne 在 2014 年收购了该 ，在 2020 年声称 OvrC 已拥有约 920 万台设备，而如今该 预计坐拥 1000 万台设备。

IT之家参考安全报告获悉，相关漏洞主要包括输入验证不足、不当的访问控制、敏感信息以明文传输、数据完整性验证不足、开放式重定向、硬编码密码、绕过身份验证等，此类漏洞大多源于设备与云端接口的安全设计缺陷，黑客可利用漏洞绕过防火墙，避开网络地址转换（NAT）等安全机制，从而在 设备上运行恶意代码。

参考 CVSS 风险 ，4 个被评为高危的漏洞分别是：输入验证不足漏洞 CVE-2023-28649、不当访问控制漏洞 CVE-2023-31241、数据完整性验证不足漏洞 CVE-2023-28386，以及关键功能缺乏认证漏洞 CVE-2024-50381，这些漏洞的 在 9.1 至 9.2 之间。

关于漏洞的具体利用方式，研究人员指出，黑客可以先利用 CVE-2023-28412 漏洞获取所有受管设备的列表，再通过 CVE-2023-28649 和 CVE-2024-50381 漏洞强制设备进入“未声明所有权”（Unclaim）状态。随后黑客即可利用 CVE-2023-31241 漏洞将 MAC 地址与设备 ID 匹配，并通过设备 ID 重新声明设备所有权，最终实现远程执行代码。

值得注意的是，在研究人员报告后，大部分问题已于去年 5 月被修复，但仍有两个漏洞直到本月才得到 ，目前，该 已完全修复相应漏洞。