2021.6.25 • 农历5月16日 • 周五
这周的物联网圈子
有哪些值得关注的事情呢？
鲲鹏实验室带你回顾下
01
IoT智能设备漏洞
校园物联网智能管理系统弱口令漏洞
影响产品：
深圳市六合未来科技有限公司 校园物联网智能管理系统 1.7.45
漏洞类型：弱口令漏洞
校园物联网智能管理系统可实时监测和控制所有接入设备，集中管理，数据统计，报表呈现。
深圳科绪技术有限公司校园物联网智能管理系统存在弱口令漏洞，攻击者可利用该漏洞获取敏感信息。
影响范围：
深圳市六合未来科技有限公司 校园物联网智能管理系统 1.7.45
TRENDnet网络摄像头存在弱口令漏洞
影响产品：
TRENDnet TRENDnet网络摄像头 TV-IP551WI
漏洞类型：弱口令漏洞
TRENDnet是全球主要数据网络专业厂商之一。
TRENDnet网络摄像头存在弱口令漏洞，攻击者可利用该漏洞获取敏感信息。
影响范围：
TRENDnet TRENDnet网络摄像头 TV-IP551WI
D-Link DIR-809存在拒绝服务漏洞
影响产品：
D-Link DIR-809 Ax_FW1.12WWB03_20190410
漏洞类型：拒绝服务漏洞
D-Link DIR-809是一款使用RTOS的无线路由器。
D-Link DIR-809存在拒绝服务漏洞，攻击者可利用该漏洞造成拒绝服务攻击。
影响产品：
D-Link DIR-809 Ax_FW1.12WWB03_20190410
5MP Network Camera弱口令漏洞
影响产品：
Finetree 5MP Network Camera
漏洞类型：弱口令漏洞
5MP Network Camera是一款摄像机产品。
Finetree 5MP Network Camera存在弱口令漏洞，攻击者可利用该漏洞获取敏感信息。
影响产品：
Finetree 5MP Network Camera
02
其他热门漏洞
NO.1
VMware Tools、VMRC 和
VMware App Volumes 本地提权漏洞
漏洞编号：CVE-2021-21999
VMware Tools是美国威睿（VMware）公司的一款VMWare虚拟机自带的增强工具，它是VMware提供的用于增强虚拟显卡和硬盘性能、以及同步虚拟机与主机时钟的驱动程序
攻击者可以通过构造恶意文件，将其重命名为“openssl.cnf”放置在不受限制的目录中来利用此漏洞，从而提升权限执行任意代码。
影响版本：
VMRC for Windows 12.X < 12.0.1
VMware Tools for Windows 11.x.y < 11.2.6
VMware App Volumes 4 < 2103
VMware App Volumes 2.x < 2.18.10
NO.2
Palo Alto Networks Cortex XSOAR
未认证REST API使用漏洞
漏洞编号：CVE-2021-3044
Palo Alto Networks Cortex XDR Agent是马来西亚Palo Alto Networks公司的一个用于检测客户端设备安全性的客户端软件。
未经身份验证的攻击者能够通过访问 Cortex XSOAR中的 API 执行未经授权的操作。
影响版本：
Cortex XSOAR 6.2.0 < 1271065
1016923 <= Cortex XSOAR 6.1.0 < 1271064
NO.3
Google Chrome 释放后重用漏洞
漏洞编号：CVE-2021-30555
Google Chrome是美国谷歌（Google）公司的一款Web浏览器。
由于Chrome Sharing 组件内存在释放后重用，远程攻击者通过精心设计恶意网页诱导用户访问，从而触发漏洞，执行任意代码。
影响版本：
Google Chrome < 91.0.4472.114
NO.4
PHPMailer 远程代码执行漏洞
漏洞编号：CVE-2021-34551
PHPMailer是一个用于发送电子邮件的PHP类库。
由于对用户提供数据的验证不足，远程攻击者通过构造恶意请求，将受影响的参数设置为UNC路径，当服务器解析UNC路径下的恶意文件时,导致在系统上执行任意PHP代码。
影响版本：
PHPMailer <= 6.4.1
03
安全事件
01
工信部开展摄像头集中整治活动
6月22日，工信部网站发文，将在6月至8月组织开展摄像头网络安全集中整治活动。“通过加大联网摄像头安全威胁监测处置力度、开展视频监控云平台网络和数据安全专项检查、规范摄像头生产企业产品安全漏洞管理等措施，消除摄像头网络安全隐患，保障网络安全，维护公民在网络空间的合法权益。”
02
UCI首次提出针对自动驾驶多传感器融合感知的攻击
在自动驾驶系统里，感知模块负责实时检测路上的障碍物，比如周围车辆、行人、交通锥 （雪糕筒）等等，从而避免发生一些交通事故。当前，L4 自动驾驶系统逐渐商业化，其普遍采用多传感器融合的设计，即融合不同的感知源，比如激光雷达（LiDAR）和摄像头（camera），从而实现准确并且周密的感知。来自加州大学尔湾分校（UC Irvine）的研究者发现，在识别现实世界中，这种多传感器融合的障碍物感知存在漏洞。通过这个漏洞，可以同时攻击不同的感知源，或者攻击单个感知源（只有 LiDAR 或者 camera 的检测），使得无人车无法成功检测前面的障碍物并直接撞上去。这使我们第一次具体了解到使用多传感器融合作为无人车感知的一般防御策略能提供多少安全保障。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
