固件安全公司IoT-Inspector在一個專注于電纜調(diào)制解調(diào)器的研究項目中,，發(fā)現(xiàn)了該系統(tǒng)使用了雙SoC（片上系統(tǒng)，System on Chip）設(shè)計,。主要的SoC運(yùn)行一個Linux系統(tǒng),，而第二個SoC——一個專用的Realtek RTL819xD芯片組實現(xiàn)所有的接入功能——被發(fā)現(xiàn)運(yùn)行的是另一個從Realtek剝離出來的Linux系統(tǒng)。

　　Realtek （瑞昱）芯片組廣泛應(yīng)用于物聯(lián)網(wǎng)領(lǐng)域的許多嵌入式設(shè)備,，提供無線功能,。IoT Inspector研究人員重點識別在目標(biāo)設(shè)備上的RTL819xD上運(yùn)行的二進(jìn)制文件，它們通過網(wǎng)絡(luò)公開Realtek自己提供的服務(wù),。這些二進(jìn)制文件被打包為Realtek SDK的一部分,，該SDK由Realtek開發(fā)，并提供給使用RTL8xxx soc的供應(yīng)商和制造商,。在IoT Inspector的固件分析平臺的支持下,，他們對這些二進(jìn)制文件進(jìn)行了漏洞分析，并確定了十多個漏洞——從命令注入到影響UPnP、HTTP（管理web界面）和Realtek定制網(wǎng)絡(luò)服務(wù)的內(nèi)存損壞,。通過利用這些漏洞,，遠(yuǎn)程未經(jīng)身份驗證的攻擊者可以完全破壞目標(biāo)設(shè)備，并以最高權(quán)限執(zhí)行任意代碼,。最終研究人員確定了至少65個不同的供應(yīng)商受這批漏洞影響,，擁有近200個獨特的設(shè)備指紋，這得益于Shodan的掃描能力,，以及一些供應(yīng)商和制造商將這些設(shè)備暴露在互聯(lián)網(wǎng)上的錯誤配置,。受影響的設(shè)備具有無線功能，覆蓋范圍很廣,，從住宅網(wǎng)關(guān),、旅行路由器、Wi-Fi中繼器,、IP攝像頭到智能閃電網(wǎng)關(guān)（Smart Lightening gateway）,，甚至可聯(lián)網(wǎng)的玩具。

　　關(guān)鍵的問題

　　隨著安全專家對供應(yīng)鏈透明度的意識不斷提高,，這個例子很好地展示了一個模糊的物聯(lián)網(wǎng)供應(yīng)鏈的巨大影響,。與最近的供應(yīng)鏈攻擊（如Kaseya或Solar Winds）不同，在這些攻擊中,，攻擊者竭盡所能地滲透到供應(yīng)商的發(fā)布流程中,，并在產(chǎn)品更新中放置隱藏的后門。這個例子遠(yuǎn)沒有那么復(fù)雜——而且可能更常見,，原因很簡單：

　　一是供應(yīng)商的軟件安全開發(fā)實踐落實不到位,。在供應(yīng)商方面，不充分的安全軟件開發(fā)實踐,，特別是缺乏安全測試和代碼審查,，導(dǎo)致數(shù)十個關(guān)鍵的安全問題在Realtek的代碼庫中存在了十多年（從2.x分支通過“Jungle”SDK到“Luna”SDK）。

　　二是在產(chǎn)品供應(yīng)商方面,，缺失對上游供應(yīng)鏈的安全驗證,。制造商可以訪問Realtek源代碼（這是為他們自己的平臺構(gòu)建Realtek SDK二進(jìn)制文件的要求），但他們沒有充分驗證自己的供應(yīng)鏈,，未發(fā)現(xiàn)問題,，并將漏洞分發(fā)給數(shù)十萬終端客戶——使他們?nèi)菀资艿焦簟?/p>

　　三是供應(yīng)鏈問題也會向上游延伸。在IoT-Inspector公司的研究中,，發(fā)現(xiàn)安全研究人員和滲透測試人員之前已經(jīng)發(fā)現(xiàn)了依賴于Realtek SDK的設(shè)備中的問題,，但沒有將這些問題直接與Realtek聯(lián)系起來。收到這些漏洞報告的供應(yīng)商在自己的分支中修復(fù)了它們,，但沒有通知Realtek,，從而暴露了其他漏洞,。

　　IoT-Inspector公司的固件分析平臺IoT Inspector可以支持檢測這些關(guān)鍵的供應(yīng)鏈問題。它會自動檢測一個固件是否基于一個脆弱的Realtek SDK,，以及它的特定版本,。它還可以檢測這次報告的十多個漏洞，以及所提供的補(bǔ)丁是否被應(yīng)用,。

　　關(guān)于IoT-Inspector（物聯(lián)網(wǎng)檢查員）研究實驗室

　　為了#使物聯(lián)網(wǎng)安全,，IoT-Inspector研究實驗室致力于分析、發(fā)現(xiàn)并負(fù)責(zé)任地披露物聯(lián)網(wǎng)設(shè)備中現(xiàn)實世界中的bug,。利用我們的發(fā)現(xiàn)來增強(qiáng)和改進(jìn)IoT Inspector的檢測能力,，提高自動化能力，并發(fā)布技術(shù)內(nèi)容以支持全球物聯(lián)網(wǎng)安全社區(qū),。