Microsoft 在物联网和 OT 设备中发现代码执行漏洞
Microsoft安全研究人员在物联网(IoT)设备和运营技术(OT)工业系统中发现了二十多个关键的远程代码执行(RCE)漏洞。这 25 个安全漏洞被统称为 BadAlloc,是由内存分配整数溢出或环绕错误引起的。攻击者可以利用它们来触发系统崩溃并在物联网和 OT 系统上远程执行恶意代码。 Microsoft的研究人员在多个实时操作系统(RTOS)、C 标准库(libc)实现和嵌入式软件开发工具包(SDK)中广泛使用的标准内存分配功能中发现了这些漏洞。其安全响应中心团队表示,多年来作为物联网设备和嵌入式软件的一部分而编写的内存分配实现没有进行适当的输入验证,因此,攻击者可以利用内存分配功能来触发堆溢出,从而在目标设备上执行恶意代码。 在发现这些漏洞后,Microsoft 的安全研究人员将其报告给了 CISA 和受影响的供应商。据悉,这些容易受到 BadAlloc攻击的物联网和 OT设备目前主要存在于消费者、医疗和工业网络中,包括Amazon FreeRTOS、Apache Nuttx OS、Google Cloud IoT Device SDK 等,完整的列表可以在CISA 的公告中查...

