在過去幾天，我們已經(jīng)看到了針對Linux內(nèi)核以及各種開源媒體庫的整數(shù)溢出漏洞的修復，這個漏洞允許攻擊者通過拒絕服務攻擊和遠程代碼執(zhí)行來攻擊運行所謂的Lempel-Ziv-Oberhumer(LZO)代碼的系統(tǒng)。LZO處理嵌入式系統(tǒng)中IP網(wǎng)絡流量和文件(通常是圖像)的壓縮和解壓縮。
發(fā)現(xiàn)這個漏洞同時手動審計改代碼的Lab Mouse Security公司移動和嵌入式系統(tǒng)安全專家Don Bailey表示：“最普遍的使用是在圖像數(shù)據(jù)中，解壓縮拍攝的圖片，以及從照相機或視頻流獲取的原始圖像。”
Bailey表示，這個漏洞最棘手的部分在于這可能影響廣泛使用該算法的消費級產(chǎn)品：這取決于產(chǎn)品使用的規(guī)格版本，以及算法是如何部署在系統(tǒng)中的，所有目前我們并不清楚有多少消費級產(chǎn)品正處于危險之中。
他表示，有幾個關(guān)鍵產(chǎn)品中部署了LZO，包括OpenVPN、三星Android設(shè)備、Apache Hadoop、瞻博網(wǎng)絡Junos Ipsec、mplayer2、gstreamer和Illumos/Solaris BSD ZFS(Iz4)，但目前還不清楚這些軟件程序中的LZO部署是否容易受到攻擊。他表示：“最有可能的情況是，它們可能都會受到DoS的影響。”
是否會受到影響完全取決于該算法的部署情況，以及底層架構(gòu)和應用程序的內(nèi)存布局。因此，所有LZO都應該對該漏洞的風險進行評估，并且進行修復。
對于這個漏洞，讓人擔憂的是它可能給商業(yè)系統(tǒng)帶來潛在的危險。Bailey表示：“如果它運行在嵌入式汽車或飛機系統(tǒng)，它可能被用來導致軟件故障，以及導致單片機或嵌入式系統(tǒng)故障。根據(jù)架構(gòu)的不同，該系統(tǒng)可能會或者可能不會發(fā)生故障。”
它還可以用來通過視聽媒體遠程執(zhí)行代碼，他表示：“如果你正在觀看視頻，一個惡意視頻可能會在你的計算機執(zhí)行shell，這意味著，你觀看視頻時會執(zhí)行代碼。”
對于該漏洞的影響范圍還有很多未知數(shù)。美國宇航局的Mars Rover同樣在運行LZO，但Bailey表示，由于我們不知道代碼是如何部署的，我們也沒有辦法知道火星車是否會受到影響。
Rapid7公司全球安全戰(zhàn)略家Trey Ford表示，LZO壓縮是很普遍的。他表示：“你會發(fā)現(xiàn)它幾乎在所有Linux的版本中，它還可能會影響Solaris、iOS和Android.需要注意的是，一些Linux內(nèi)核(操作系統(tǒng)的基礎(chǔ))版本幾乎被用于所有物聯(lián)網(wǎng)設(shè)備中，無論功能是什么。”
但是由于不清楚該漏洞在不同部署中的情況，我們很難判斷這個漏洞帶來的危害。Ford表示：“這個漏洞可能會允許繞過修改過的內(nèi)核部署中系統(tǒng)啟動加載器的簽名，或者可能通過特殊的USB驅(qū)動器在本地內(nèi)核水平進行漏洞利用。如果沒有更多細節(jié)，我們很難評估該漏洞的潛在威脅。”
同時，Bailey表示：“隨著物聯(lián)網(wǎng)變得更加普及，我們將會看到更多這樣的漏洞。”
然而，并不是所有系統(tǒng)都會進行LZO修復或者未來修復。“很多較舊的項目可能不會修復，”他表示，“企業(yè)可能有很多傳統(tǒng)系統(tǒng)，并不知道它們在使用這個庫。”
這個LZO漏洞與Heartbleed有一些相似之處，但目前還沒有Heartbleed那么大的影響力。他表示：“它可能與Heartbleed一樣危險，因為它影響著廣泛的平臺，這個漏洞可能帶來內(nèi)存泄露、拒絕服務攻擊和遠程代碼執(zhí)行。”
Bailey已經(jīng)公布了關(guān)于該LZO漏洞的技術(shù)細節(jié)信息。
下面是針對該漏洞發(fā)布的修復程序：
· 今天發(fā)布了Linux內(nèi)核更新，根據(jù)該項目的開發(fā)人員表示，所有Linux發(fā)行版的補丁現(xiàn)在都可用
· 根據(jù)開源項目開發(fā)人員表示，Libav的CamStudio和NuppelVideo解碼器版本和使用LZO的Mastroska分路器都受到影響。Libav 0.89和10都容易受到該漏洞的影響，本周進行了修復。
· Videolan和ffmpeg媒體播放器本周都進行了修復
· Oberhumer開發(fā)的LZO專業(yè)數(shù)據(jù)壓縮庫被用在Rover、飛機、卡、手機、操作系統(tǒng)和游戲機中，該公司對于補丁修復以及其系統(tǒng)是否受到該漏洞的影響并沒有作出回應。
但是該公司已經(jīng)發(fā)布了對該軟件的更新，LZO 2.07.這個更新并沒有明確它是否修復了LZO漏洞。Bailey表示，這個網(wǎng)站并沒有標明新版本中修復的安全問題。
Oberhumer在其網(wǎng)站稱：“基本上，如果你有一輛汽車、移動電話、計算機、控制臺，或者最近到醫(yī)院就診，很有可能你使用了我們的嵌入式數(shù)據(jù)壓縮技術(shù)。”
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場趨勢的專業(yè)媒體傳播和品牌服務。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經(jīng)驗，提供媒體、活動、展會等整合營銷服務。
粵公網(wǎng)安備 44030402000264號
