海外流行物联网云平台 OvrC 曝一系列重大漏洞，黑客可远程执行恶意代码

电脑系统网 11 月 16 日信息，安全公司 Claroty 发布报告，曝出一款国外流行的物联网技术设备云空间管理系统 Ovr 含有的一系列重要漏洞。安全公司宣称黑客能够连续利用这种漏洞完成在物联网设备上远程控制实行恶意代码，但根据 CVSS 风险评价，一部分曝出的漏洞风险性评分高达 9.2（100分 10 分）。

据了解，OvrC 物联网云平台的主要作用是根据移动智能终端或根据 Web Socket 的页面为消费者提供远程控制软件配置管理、运作状态监测等业务。自动化公司 SnapOne 在 2014 年收购了该网站，在 2020 年宣称 OvrC 已拥有约 920 万部设备，而现在该网站预估坐享 1000 万部设备。

电脑系统网参照安全报告获知，有关漏洞主要包含键入认证不够、不正确的密钥管理、隐私信息以明文传输、数据库安全认证不够、敞开式跳转、硬编码登陆密码、绕开身份认证等，该类漏洞大多数来源于设备与云空间接口安全性设计问题，黑客可利用漏洞绕开网络防火墙，绕开网络地址转换（NAT）等安全策略，进而在行业设备上运行恶意代码。

参照 CVSS 风险评分，4 个被选为高风险的漏洞分别为：键入认证不够漏洞 CVE-2023-28649、不合理密钥管理漏洞 CVE-2023-31241、数据库安全认证不够漏洞 CVE-2023-28386，及其主要作用欠缺验证漏洞 CVE-2024-50381，这种漏洞评分在 9.1 至 9.2 中间。

有关漏洞的实际利用方法，科研人员强调，黑客可以直接利用 CVE-2023-28412 漏洞获得全部受管设备的目录，然后通过 CVE-2023-28649 和 CVE-2024-50381 漏洞强制性设备进到“未声明使用权”（Unclaim）情况。接着黑客就可以利用 CVE-2023-31241 漏洞将 MAC 详细地址与设备 ID 配对，并且通过设备 ID 再次申明设备使用权，最后实现远程运行代码。

值得关注的是，在科研人员通知后，绝大多数难题已于去年 5 月被修补，但还是有2个漏洞直至本月才及时解决，现阶段，该网站已完全修补相对应漏洞。