P2P的问题韧体能轻易导致2百万台IoT遭骇

安全研究人员发现，上百家品牌的物联网装置包含有漏洞的P2P韧体组件，导致全球超过200万台包括IP摄影机、智慧门铃、婴儿监视器等连网装置遭黑客劫持、窃取数据或远程控制。这是由安全研究人员Paul Marrapese首先发现并揭露。受影响的装置都包含一款由中国深圳的Yunni Technology所开发名为iLnKP2P的点对点（P2P）韧体组件，这款软件让用户一上线就可链接物联网装置，而无需经过设定防火墙组态。研究人员发现iLnKP2P存在二项漏洞。CVE-2019-11219 为一列举漏洞（enumeration vulnerability），可让攻击者迅速发现连网装置。由于点对点技术特性，攻击者可以绕过防火墙限制而直接链接任意装置。CVE-2019-11220则为验证漏洞，即缺乏验证机制或加密，使攻击者得以拦截用户到装置间的联机而执行中间人（MiMT）攻击，窃取装置密码后接管物联网装置，例如反过来监视用户。

上百家品牌的物联网装置如IP摄影机、智能门铃、Webcam、婴儿监视摄影机、DVR等都使用到这款软件组件，估计总共超过200万台，受影响品牌包括HiChip（海芯威视）、TENVIS、SV3C、VStarcam、Wanscam、NEO Coolcam、Sricam、Eye Sight及HVCAM，多半为中国品牌，但有些也在网站销售。研究人员也列出有漏洞装置的UID（Unique Identifier）码。凡是家中摄影机产品卷标上的UID码出现于上头，表示可能已经中标。研究人员建议用户换买知名品牌的装置，因为小厂产品基本上无法更新韧体。如果无法换掉，也可以封锁UDP port 32100的对外联机。