外國有安全研究員發現物聯網（IoT）裝置依賴的 UPnP（Universal Plug and Play）協定存在安全漏洞，黑客能夠掃瞄網路、竊密，甚至利用物聯網助長分散式阻斷服務攻擊（DDoS）。
UPnP 協定讓物聯網裝置在區域網路上尋找並控制其他裝置，但被發現缺乏良好的流量驗證機制，給黑客有機可乘。這個官方命名為 CVE-2020-12695 的漏洞，由土耳其的安全研究員 Yunus Çadirci 發現，UPnP SUBSCRIBE 功能中的 Callback header 值可能會被黑客操控，造成類似伺服器端的請求偽造（Server-Side Request Forgery，SSRF）漏洞，黑客可利用漏洞造成多種攻擊，例如繞過資料洩露防護（DLP）及網路安全裝置，引發資料外洩，或者被利用作發動 DDoS 攻擊。
Yunus Çadirci 指出，全球數十億連網產品，包括電腦、打印機、遊戲機、電視、對講機等，都會受到這個漏洞影響。資訊安全公司 Rapid7 研究總監 Tod Beardsley 回應指，用戶要防範資料外洩，只要不開放 UPnP 便可；假如用戶已經開放 UPnP，很可能沒有意識到自己已經暴露在網路世界中。
資料來源：SC Media
分享到 :
最新影片
