Duizenden IoT-apparaten kwetsbaar door lek in softwarebibliotheek
Duizenden Internet of Things-apparaten zijn kwetsbaar voor aanvallers door een beveiligingslek in een redelijk populaire softwarebibliotheek. Het gaat om de gSOAP-softwarebibliotheek, ontwikkeld door Genivia. De kwetsbaarheid kan een aanvaller willekeurige code op apparaten laten uitvoeren.
Het beveiligingslek werd ontdekt door onderzoekers van Senrio, die twee blogpostings over de kwetsbaarheid genaamd "Devil's Ivy" publiceerden. In eerste instantie werd het probleem in de camera's van fabrikant Axis aangetroffen. Axis liet weten dat de kwetsbare softwarebibliotheek in 249 verschillende cameramodellen wordt gebruikt. Een aanvaller kan in het geval van de camera's met beelden meekijken of de eigenaar toegang tot de beelden weigeren. De onderzoekers vonden bijna 15.000 Axis-camera's die via internet toegankelijk zijn. Na te zijn ingelicht heeft Axis firmware-updates voor het probleem uitgebracht.
De gSOAP-bibliotheek wordt echter in veel meer producten gebruikt. Onder andere IBM, Microsoft, Adobe en Xerox maken er gebruik van. Volgens Genivia is de softwarebilbiotheek meer dan 1 miljoen keer gedownload. Er is een grote kans dat fabrikanten die de software hebben gedownload die vervolgens voor meerdere producten zullen gebruiken. Volgens de onderzoekers hebben waarschijnlijk tientallen miljoenen softwareproducten en IoT-apparaten tot op enige hoogte met de kwetsbaarheid te maken. Het is echter op dit moment nog niet mogelijk om de fabrikanten en ontwikkelaars te identificeren van wie de producten kwetsbaar zijn, zo merken ze op.
Apparaten worden slimmer..... maar de massa?
Geef mijn portie iot voor vandaag maar aan fikkie.
Stupid
Morons
Are
Really
Transparent
Met vriendelijke groet,
Vasily Vpnsky
Alleen al IP camera's van 1 merk zijn er al 150 van online (vlgs het artikel). Valt 150k onder "vele duizenden"? Bij mij wel...
Alleen al IP camera's van 1 merk zijn er al 150 van online (vlgs het artikel). Valt 150k onder "vele duizenden"? Bij mij wel...
Senrio zegt dat moeilijk te schatten is op welke manieren apparaten met de lekke software kwetsbaar zijn, maar schat dat 'tientallen miljoenen apparaten' risico lopen. Zes procent van de bij het Onvif-standaardisatieconsortium aangesloten bedrijven zou gSOAP-gebruiken.
bron: https://tweakers.net/nieuws/127347/lek-in-gsoap-softwarebibliotheek-maakt-veel-iot-apparaten-kwetsbaar.html
Voor gebruik met Java zal je geen C/C++ library als gSOAP gebruiken. Er zijn genoeg alternatieven voor gebruik met Java:
https://en.wikipedia.org/wiki/List_of_web_service_frameworks
Waarom zouden ibm klanten in wat standaard geleverd wordt gaan zitten grutten voor alternatieven. Zinloos kostbaar en als er wat optreedt is het niet de geteste combi van de leverancier. Dan krijg je de interne managers over je heen waarom er een deviatie is.
https://www.ibm.com/developerworks/webservices/library/ws-soa-gsoap/index.html
Deze is wat specifieker ego webservice is een bouwsteen
https://www.ibm.com/support/knowledgecenter/en/SSZU2E_2.2.0/supported_system_config/software_used_spark.html zegt je misschien niets als big data component. Dit moet een quintje laten horen https://developer.ibm.com/recipes/tutorials/spark-streaming-ibm-watson-iot-platform-integration/
Die opeenstapeling van sub componenten tot een duur commercieel product is vrij gangbaar. Dat comète product is wat de beslissers zien als uniek onderscheidend iets.
Blijkbaar heb je toch niet helemaal begrepen wat je had gegoogled. Gebruik van gSOAP in clients is nl. niet relevant wanneer je het over kwetsbaarheden op de server hebt.
Algemene libraries met een fout werken overal door waar ze maar gebruikt worden. Dat is een les die elke code klopper kennelijk door schade en schande moet leren. En de er bij komende les is dat alle anderen ook dat probleem hebben.
De open source library gSOAP heeft een probleem: ergo elke omgeving waar dat gebruikt wordt heeft een probleem.
Het is de input validatie van gSOAP bij XML processing waar het speelt en dat is ernstig als je weet waar dat allemaal zit. Ik heb je de links van een uitgewerkt voorbeeld gegeven. Open source met een fout en gebruikt door een grote commercieel.
Dat is een ongemakkelijke waarheid. Die waarheid verander je niet door ontkenning of negeren.
Voor een code klopper in opleiding betekent het dat je de technical debt al creeert bij het tikken. Jammer als je van je zelf denkt dat je zo'n fantastische codeur bent. Jammer van als die security issues (gaten) in de code. Jammer dat de afnemer die ellende ooit moet zien op te lossen.
Toevoeging:
Je interpretatie van de cliënt is veel te beperkt. C/S architectuur gaat over informatiestromen en diensten. Staat los van doosjes. Neem nu eens een LDAP cliënt, dat is https://access.redhat.com/documentation/en-US/Red_Hat_Enterprise_Linux/3/html/Reference_Guide/s1-ldap-pam.html ofwel het OS als vm of op bare IRon. De context is belangrijk he is wat een andere weer de server zou noemen.
@karma4
Verder vraag ik je vriendelijk niet van die cowboy taal te gebruiker als 'code kloppers' en 'codeur'. Het siert niet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
