Nhà nghiên cứu của Nozomi Networks (trụ sở chính tại Mỹ) đã tiết lộ lỗ hổng trong một thành phần của phần mềm phổ biến ThroughTek (Trung Quốc), mà các nhà sản xuất thiết bị gốc (OEM) sử dụng để sản xuất camera IP, camera giám sát trẻ em và thú cưng cũng như các thiết bị robot và pin.
Bản thân lỗ hổng này được tìm thấy trong một bộ công cụ phát triển phần mềm P2P do ThroughTek sản xuất. Trong trường hợp này, P2P đề cập đến chức năng cho phép khách hàng trên ứng dụng dành cho thiết bị di động hoặc máy tính để bàn truy cập các luồng (stream) âm thanh hay video từ máy ảnh hoặc thiết bị thông qua Internet.
Nozomi Networks tuyên bố rằng giao thức được sử dụng để truyền các luồng dữ liệu đó thiếu trao đổi khóa an toàn, thay vào đó, nó dựa vào phương pháp làm rối mã (obfuscation) dựa trên khóa cố định. Điều này có nghĩa là những kẻ tấn công trái phép có thể truy cập vào đó để tạo lại luồng âm thanh/video, cho phép chúng theo dõi người dùng từ xa một cách hiệu quả.
Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã phát cảnh báo bảo mật cho lỗ hổng tồn tại trong ThroughTek P2P SDK vào ngày 15/6/2021, với điểm CVSS lên 9,1. Lỗ hổng này ảnh hưởng đến phiên bản 3.1.5 trở lên. Các phiên bản SDK với thẻ nossl và chương trình cơ sở của thiết bị không sử dụng AuthKey cho kết nối IOTC, sử dụng môđun AVAPI mà không bật DTLS hoặc sử dụng môđun P2PTunnel hoặc RDT.
ThroughTek đổ lỗi cho các nhà phát triển đã triển khai sai SDK hoặc không cập nhật phần mềm vào sản phẩm của họ. Hãng này cũng cho biết, phiên bản 3.3 đã được giới thiệu vào giữa năm 2020 để sửa lỗ hổng này và kêu gọi người dùng cập nhật phiên bản SDK được sử dụng trong các sản phẩm.
Lỗ hổng được phát hiện cũng có thể dẫn đến việc nghe trộm trái phép video camera, âm thanh và giả mạo thiết bị cũng như chiếm đoạt chứng chỉ thiết bị.
Vụ việc một lần nữa làm dấy lên những lo ngại mà người dùng IoT phải đối mặt khi việc cập nhật phần mềm không được triển khai kịp thời và quá phụ thuộc vào các thành phần của nhà phát triển bên thứ ba.
Năm 2020, một số lỗ hổng zero-day đã được phát hiện trong thư viện phần mềm TCP/IP được sử dụng rộng rãi có thể gây ảnh hưởng đến hàng trăm triệu thiết bị IoT.
Vào tháng 4/2021, các nhà nghiên cứu đã tìm thấy nhiều lỗ hổng được đặt tên là “Name: Wreck” trong phần mềm phổ biến FreeBSD và các loại firmware IoT/OT khác nhau có thể có mặt trong hơn 100 triệu thiết bị IoT.
Hồng Vân
14:00 | 27/09/2021
08:00 | 25/12/2020
18:00 | 22/07/2021
10:00 | 04/01/2021
08:00 | 25/08/2021
14:00 | 06/08/2020
10:00 | 21/02/2023
08:00 | 22/12/2024
Trang web chuyên đăng tải các bài báo về phòng chống lừa đảo mạng Scam Sniffer cho biết, trong thời gian gần đây kẻ tấn công đã cài phần mềm chứa mã độc vào các trang web giả mạo được lập ra với mục đích để xác thực tài khoản Telegram của người dùng.
14:00 | 06/12/2024
Các nhà nghiên cứu của Công ty an ninh mạng Trend Micro (Nhật Bản) cho biết, nhóm tin tặc do nhà nước Trung Quốc hậu thuẫn là Salt Typhoon đã sử dụng backdoor GhostSpider mới trong các cuộc tấn công vào các nhà cung cấp dịch vụ viễn thông.
10:00 | 04/12/2024
Công ty an ninh mạng VulnCheck (Mỹ) vừa qua đã lên tiếng cảnh báo rằng, tin tặc có thể đang khai thác một lỗ hổng bảo mật nghiêm trọng trên các máy chủ ProjectSend, vốn đã được vá cách đây khoảng một năm.
07:00 | 02/12/2024
Theo cảnh báo của Trung tâm Ứng cứu khẩn cấp không gian mạng Việt Nam (VNCERT/CC) thuộc Cục An toàn thông tin, Bộ Thông tin và Truyền thông, các thủ đoạn lừa đảo tài chính trực tuyến đang gia tăng tại Việt Nam, nhất là chiêu trò giả mạo tổ chức tài chính để mời chào người dân vay tiền, từ đó chiếm đoạt thông tin và tài sản.
Lừa đảo mạo danh tiếp tục là điểm nóng trên không gian mạng. Cục An toàn thông tin (Bộ TT&TT) vừa khuyến cáo các đơn vị, cá nhân trong nước cảnh giác trước chiêu giả mạo Trung tâm An ninh mạng quốc gia, Cục Hải quan, Shopee.
09:00 | 10/02/2025