Microsoft 安全研究人员在物联网（IoT）设备和运营技术（OT）工业系统中发现了二十多个关键的远程代码执行（RCE）漏洞。这 25 个安全漏洞被统称为 BadAlloc，是由内存分配整数溢出或环绕错误引起的。攻击者可以利用它们来触发系统崩溃并在物联网和 OT 系统上远程执行恶意代码。

Microsoft 的研究人员在多个实时操作系统（RTOS）、C 标准库（libc）实现和嵌入式软件开发工具包（SDK）中广泛使用的标准内存分配功能中发现了这些漏洞。其安全响应中心团队表示，多年来作为物联网设备和嵌入式软件的一部分而编写的内存分配实现没有进行适当的输入验证，因此，攻击者可以利用内存分配功能来触发堆溢出，从而在目标设备上执行恶意代码。

在发现这些漏洞后，Microsoft 的安全研究人员将其报告给了 CISA 和受影响的供应商。据悉，这些容易受到 BadAlloc 攻击的物联网和 OT 设备目前主要存在于消费者、医疗和工业网络中，包括 Amazon FreeRTOS、Apache Nuttx OS、Google Cloud IoT Device SDK 等，完整的列表可以在 CISA 的公告中查到。同时，CISA 和 Microsoft 建议使用易受 BadAlloc 攻击的设备的组织采取下列措施以减少风险：

• 应用现有的供应商更新
• 尽量减少所有控制系统设备及其系统的网络暴露，并确保它们不能从互联网访问
• 将控制系统网络和远程设备置于防火墙之后，并将其与业务网络隔离开来
• 当需要远程访问时，使用安全的方法，如 VPN
• 实施网络安全监控，以检测可能有危害的行为指标
• 加强网络分割以保护关键资源

此外，CISA 还提供了控制系统安全推荐做法和一份关于有针对性的网络入侵检测和缓解策略的技术信息文件。虽然到目前为止，Microsoft 还没有检测到对 BadAlloc 的主动利用，但 CISA 要求各组织报告任何针对它们的恶意活动，以便于追踪。