2021.8.13 • 农历7月6日 • 周五
这周的物联网圈子
有哪些值得关注的事情呢？
鲲鹏实验室带你回顾下
01
IoT智能设备漏洞
GW Security网络摄像机弱口令漏洞
影响产品：GW Security NVR
漏洞类型：通用型漏洞
GW Security NVR系列网络摄像机NVR存在弱口令漏洞，攻击者可利用该漏洞获取敏感信息。
影响范围：
GW Security NVR系列
Ecobee Ecobee3 Lite缓冲区溢出漏洞
影响产品：Ecobee Ecobee3 Lite
漏洞类型：缓冲区错误漏洞
Ecobee Ecobee3 Lite是加拿大Ecobee公司的一个Wi-Fi智能恒温器。
Ecobee Ecobee3 Lite中存在缓冲区错误漏洞，该漏洞源于产品HomeKit无线接入控制设置的 HKProcessConfig 未能正确验证数据边界，攻击者可通过该漏洞强制设备连接到SSID或导致拒绝服务。
影响范围：
Ecobee Ecobee3 Lite 4.5.81.200
夏普商MX-2310F存在未授权访问漏洞
影响产品：夏普MX-2310F
漏洞类型：未授权访问漏洞
MX-2310F是夏普商贸（中国）有限公司的一款打印机。
夏普商贸（中国）有限公司MX-2310F存在未授权访问漏洞，攻击者可利用该漏洞获取敏感信息。
影响产品：
夏普商贸（中国）有限公司 MX-2310F
Fortinet FortiSandbox路径遍历漏洞
影响产品：Fortinet FortiSandbox
漏洞类型：路径遍历漏洞
Fortinet FortiSandbox是美国飞塔（Fortinet）公司的一款APT（高级持续性威胁）防护设备。该设备提供双重沙盒技术、动态威胁智能系统、实时控制面板和报告等功能。
Fortinet FortiSandbox存在路径遍历漏洞，该漏洞可能允许经过身份验证的用户通过特制的 Web请求获得对文件和数据的未授权访问。目前没有详细的漏洞细节提供。
影响产品：
Fortinet FortiSandbox >=3.1.0，<3.1.5
Fortinet FortiSandbox >=3.2.0，<3.2.3
02
其他热门漏洞
NO.1
SIMATIC S7-1200 授权问题漏洞
漏洞编号：CVE-2021-37172
A Siemens SIMATIC S7-1200是德国西门子（Siemens）公司的一款S7-1200系列PLC（可编程逻辑控制器）。
SIMATIC S7-1200 存在授权问题漏洞，该漏洞源于设备无法根据配置的密码进行身份验证。这可能允许使用 TIA Portal V17 或更高版本的攻击者绕过身份验证并将任意程序下载到 PLC。
影响版本：
Siemens SIMATIC S7-1200 CPU family (incl. SIPLUS vari- ants) V4.5.0
NO.2
DEPSTECHWiFi Digital Microscope 安全漏洞
漏洞编号：CVE-2020-12734
DEPSTECH WiFi Digital Microscope是中国深圳深海创新技术有限公司的一款wifi工业内窥镜。
DEPSTECH WiFi Digital Microscope 3 存在安全漏洞，远程攻击者可以更改SSID和密码，并要求合法设备所有者支付赎金，因为无法重置为出厂默认设置。
影响版本：
DEPSTECH WiFi Digital Microscope 3
NO.3
Cisco Small Business RV340和Cisco Small Business命令注入漏洞
漏洞编号：CVE-2021-1610
Cisco Small Business是美国思科（Cisco）公司的一个交换机。
Cisco Small Business Cisco RV340、RV340W、RV345 和 RV345P 双 WAN 千兆 VPN 路由器 Web 管理界面中存在命令注入漏洞，该漏洞可能允许经过身份验证的远程攻击者在受影响的设备上以root权限执行任意命令。
影响版本：
Cisco RV340 Dual WAN Gigabit VPN Router < 1.0.03.22
Cisco RV340W Dual WAN Gigabit Wireless-AC VPN Router < 1.0.03.22
Cisco RV345 Dual WAN Gigabit VPN Router < 1.0.03.22
Cisco RV345P Dual WAN Gigabit POE VPN Router < 1.0.03.22
NO.4
多款NETGEAR产品跨站请求伪造漏洞
漏洞编号：CVE-2017-18749
NETGEAR JNR1010等都是美国网件（NETGEAR）公司的一款无线路由器。多款NETGEAR产品中存在跨站请求伪造漏洞。该漏洞源于WEB应用未充分验证请求是否来自可信用户。攻击者可利用该漏洞通过受影响客户端向服务器发送非预期的请求。
影响版本：
NETGEAR R7800 <1.0.2.36
Netgear WNR2000v5 <1.0.0.58
NETGEAR R7500v2 <1.0.3.20
NETGEAR R7500 <1.0.0.112
NETGEAR R6100 <1.0.1.16
NETGEAR WNDR4500v3 <1.0.0.48
NETGEAR WNDR4300v2 <1.0.0.48
NETGEAR JR6150 <1.0.1.10
NETGEAR R6050 <1.0.1.10
NETGEAR R6220 <1.1.0.50
NETGEAR WNDR3700v5 <1.1.0.48
NetGear WNDR3700v4 <1.0.2.88
NetGear WNDR4300 <1.0.2.90
NETGEAR JNR1010v2 <1.1.0.44
NETGEAR JWNR2010v5 <1.1.0.44
NetGear WNR1000v4 <1.1.0.44
NETGEAR WNR2020 <1.1.0.44
NETGEAR WNR2050 <1.1.0.44
NETGEAR R9000 <1.0.2.40
03
安全事件
01
史上最大规模DeFi被黑事件
Poly Network是一家位于中国的区块链跨链去中心化金融（DeFi）平台，可以在不同区块链之间交换token。8月10日，黑客从从Polygon网络窃取了价值6.11亿美元的数字货币，其中包括价值2.73亿美元的以太坊token、币安链BSC(Binance Chain)上价值2.53亿的token、以及价值8500万美元的USDC。
Poly Network请求矿工和中心化交易所拦截来自以上地址的交易，并要求黑客与其建立联系并返回窃取的token。截止目前，黑客已经返回了价值470万美元的token，包括价值100万的USDC、价值110万的BTCB和价值200万的Shiba Inu ERC-20 token和价值62万的FEI USD稳定币。
热门跟贴