在過去幾天，我們已經看到了針對Linux內核以及各種開源媒體庫的整數(shù)溢出漏洞的修復，這個漏洞允許攻擊者通過拒絕服務攻擊和遠程代碼執(zhí)行來攻擊運行所謂的Lempel-Ziv-Oberhumer(LZO)代碼的系統(tǒng)。LZO處理嵌入式系統(tǒng)中IP網絡流量和文件(通常是圖像)的壓縮和解壓縮。
發(fā)現(xiàn)這個漏洞同時手動審計改代碼的Lab Mouse Security公司移動和嵌入式系統(tǒng)安全專家Don Bailey表示：“最普遍的使用是在圖像數(shù)據(jù)中，解壓縮拍攝的圖片，以及從照相機或視頻流獲取的原始圖像。”
Bailey表示，這個漏洞最棘手的部分在于這可能影響廣泛使用該算法的消費級產品：這取決于產品使用的規(guī)格版本，以及算法是如何部署在系統(tǒng)中的，所有目前我們并不清楚有多少消費級產品正處于危險之中。
他表示，有幾個關鍵產品中部署了LZO，包括OpenVPN、三星Android設備、Apache Hadoop、瞻博網絡Junos Ipsec、mplayer2、gstreamer和Illumos/Solaris BSD ZFS(Iz4)，但目前還不清楚這些軟件程序中的LZO部署是否容易受到攻擊。他表示：“最有可能的情況是，它們可能都會受到DoS的影響。”
是否會受到影響完全取決于該算法的部署情況，以及底層架構和應用程序的內存布局。因此，所有LZO都應該對該漏洞的風險進行評估，并且進行修復。
對于這個漏洞，讓人擔憂的是它可能給商業(yè)系統(tǒng)帶來潛在的危險。Bailey表示：“如果它運行在嵌入式汽車或飛機系統(tǒng)，它可能被用來導致軟件故障，以及導致單片機或嵌入式系統(tǒng)故障。根據(jù)架構的不同，該系統(tǒng)可能會或者可能不會發(fā)生故障。”
它還可以用來通過視聽媒體遠程執(zhí)行代碼，他表示：“如果你正在觀看視頻，一個惡意視頻可能會在你的計算機執(zhí)行shell，這意味著，你觀看視頻時會執(zhí)行代碼。”
對于該漏洞的影響范圍還有很多未知數(shù)。美國宇航局的Mars Rover同樣在運行LZO，但Bailey表示，由于我們不知道代碼是如何部署的，我們也沒有辦法知道火星車是否會受到影響。
Rapid7公司全球安全戰(zhàn)略家Trey Ford表示，LZO壓縮是很普遍的。他表示：“你會發(fā)現(xiàn)它幾乎在所有Linux的版本中，它還可能會影響Solaris、iOS和Android.需要注意的是，一些Linux內核(操作系統(tǒng)的基礎)版本幾乎被用于所有物聯(lián)網設備中，無論功能是什么。”
但是由于不清楚該漏洞在不同部署中的情況，我們很難判斷這個漏洞帶來的危害。Ford表示：“這個漏洞可能會允許繞過修改過的內核部署中系統(tǒng)啟動加載器的簽名，或者可能通過特殊的USB驅動器在本地內核水平進行漏洞利用。如果沒有更多細節(jié)，我們很難評估該漏洞的潛在威脅。”
同時，Bailey表示：“隨著物聯(lián)網變得更加普及，我們將會看到更多這樣的漏洞。”
然而，并不是所有系統(tǒng)都會進行LZO修復或者未來修復。“很多較舊的項目可能不會修復，”他表示，“企業(yè)可能有很多傳統(tǒng)系統(tǒng)，并不知道它們在使用這個庫。”
這個LZO漏洞與Heartbleed有一些相似之處，但目前還沒有Heartbleed那么大的影響力。他表示：“它可能與Heartbleed一樣危險，因為它影響著廣泛的平臺，這個漏洞可能帶來內存泄露、拒絕服務攻擊和遠程代碼執(zhí)行。”
Bailey已經公布了關于該LZO漏洞的技術細節(jié)信息。
下面是針對該漏洞發(fā)布的修復程序：
· 今天發(fā)布了Linux內核更新，根據(jù)該項目的開發(fā)人員表示，所有Linux發(fā)行版的補丁現(xiàn)在都可用
· 根據(jù)開源項目開發(fā)人員表示，Libav的CamStudio和NuppelVideo解碼器版本和使用LZO的Mastroska分路器都受到影響。Libav 0.89和10都容易受到該漏洞的影響，本周進行了修復。
· Videolan和ffmpeg媒體播放器本周都進行了修復
· Oberhumer開發(fā)的LZO專業(yè)數(shù)據(jù)壓縮庫被用在Rover、飛機、卡、手機、操作系統(tǒng)和游戲機中，該公司對于補丁修復以及其系統(tǒng)是否受到該漏洞的影響并沒有作出回應。
但是該公司已經發(fā)布了對該軟件的更新，LZO 2.07.這個更新并沒有明確它是否修復了LZO漏洞。Bailey表示，這個網站并沒有標明新版本中修復的安全問題。
Oberhumer在其網站稱：“基本上，如果你有一輛汽車、移動電話、計算機、控制臺，或者最近到醫(yī)院就診，很有可能你使用了我們的嵌入式數(shù)據(jù)壓縮技術。”
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產業(yè)前沿產品、技術及市場趨勢的專業(yè)媒體傳播和品牌服務。從安全管理到產業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經驗，提供媒體、活動、展會等整合營銷服務。
粵公網安備 44030402000264號
