聚焦源代码安全,网罗国内外最新资讯!
编译:代码卫士
Nexx 公司的智能设备中存在多个漏洞,可被用于控制车库门、禁用家用报警器或智能插座等。这些被公开的漏洞共计五个,严重程度从中危到严重不一而足,该厂商尚未证实和修复这些漏洞。
其中最严重的问题是该厂商使用在固件中硬编码的全局凭据,且攻击者可通过 Nexx 的 API 从客户端通信可轻松获取这些凭据。该漏洞也可被用于识别 Nexx 用户,导致攻击者收集邮件地址、设备ID和名字等。该漏洞的编号为CVE-2023-1748,可用于打开任何受 Nexx 控制的车库门。
今年1月4日,独立安全研究员 Sam Sabetan 发布了关于这些漏洞的 writeup,解释了攻击者如何可真实利用这些漏洞。据估算,至少有4万台 Nexx 设备与2万个账户相关联。鉴于该漏洞的严重性,CISA 也发布了相关告警信息。CISA 提醒 Nexx 产品用户称,攻击者能够访问敏感信息、执行 API 请求或劫持设备。
漏洞详情
Sebetan 发现的漏洞如下,影响运行版本 nxg200v-p3-4-1或更早版本的 Nexx Garage Door Controllers NXG-100B 和 NGX-200、运行 nxpg100cv4-0-0及更早版本的 Nexx Smart Plug NXPG-100W 以及运行 nxal100v-p1-9-1及更早版本的 Nexx Smart Alarm NXAL-100。
CVE-2023-1748:使用上述设备中的硬编码凭据,任何人均可访问 MQ Telemetry Server 并远程控制任何客户的设备(CVSS评分 9.3)
CVE-2023-1749:将API请求上的不当访问控制发送到合法的设备ID(CVSS评分 6.5)
CVE-2023-1750:访问控制不当,可导致攻击者检索设备历史、信息和变更设置(CVSS评分7.1)
CVE-2023-1751:输入验证不当,未能将授权标头中的令牌与设备ID关联(CVSS评分7.5)
CVE-2023-1752:验证控制不当,可导致任意用户使用其MAC地址,注册已被注册的 Nexx 设备(CVSS 评分8.1)
在这五个漏洞中,最严重的是CVE-2023-1748,是由 Nexx Cloud 通过安卓或 iOS Nexx Home 移动应用为所有新注册的设备设置了同一个全局密码导致的。该密码同时存在于 API 数据交换和设备交付的固件中,因此攻击者很轻松地可以获取并通过 MQTT 服务器将命令发送给设备,从而便于 Nexx 物联网设备的通信。
尽管研究人员多次尝试联系 Nexx 公司,但均未收到回复。
为缓解这些风险,建议Nexx 用户禁用设备的网络连接,部署防火墙保护并将其与任务关键网络隔离。如需远程访问或控制 Nexx 设备,则使用 VPN 连接,加密数据传输。
代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com
推荐阅读
研究人员发现Google 智能扬声器中的多个漏洞,获奖超10万美元
原文链接
https://www.bleepingcomputer.com/news/security/hackers-can-open-nexx-garage-doors-remotely-and-theres-no-fix/
题图:Pixabay License
本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错,就点个 “在看” 或 "赞” 吧~