IoT网络缺陷离开飞利浦色调灯泡攻击

网络安全公司的研究人员在ZigBee网络协议中识别出脆弱的漏洞，可以通过损害流行的飞利浦Hue电灯泡及其控制器来利用ZigBee网络协议中的漏洞到家庭网络。

CVE-2020-6007漏洞可以利用ZigBee低功耗无线网络协议中的远程利用渗透国内网络，这些协议广泛用于物联网（IOT）设备使用。

“我们中的许多人都知道IoT设备可以提出安全风险，但这项研究表明甚至是最平凡的，似乎是”愚蠢“的设备，诸如灯泡可以被黑客利用，用于接管网络，或用于种植恶意软件，或用于种植恶意软件， “Check Point中网络研究负责人表示Yaniv Balmas。

检查点的研究人员在2017年首次探讨了飞利浦色调设备的漏洞，当他们能够控制色调灯泡时，安装恶意固件，并传播到相邻的电灯泡网络。

虽然飞利浦时期固定了传播脆弱性，但攻击者仍然能够接管目标灯泡。因此，使用此剩余漏洞，检查点的团队然后进一步迈出一步，并尝试使用灯泡作为接管控制桥的平台并攻击目标的标准家庭IP网络。

在这种情况下，攻击者（必须位于设备范围内）播放颜色或亮度设置，以说服灯泡在闪烁上的目标。灯泡在控制应用程序中显示为“无法访问”，因此自然地将尝试重置它。

但是，这样做的唯一方法是从控制应用程序中删除灯泡，并指示控制桥试图再次找到它。这座桥正式做到这一点，灯泡重新加入了物联网网络。

然后，具有更新固件的黑客控制灯泡，然后使用ZigBee协议漏洞来触发通过使用数据请求轰击桥上的基于堆的缓冲区溢出。此数据还允许Hacker在网桥上安装恶意软件，该网桥连接到目标IP网络。

使用未安装和连接到黑客的恶意软件，攻击者可以从桥接桥渗透目标网络以使用已知的漏洞来扩展勒索软件或间谍软件，例如EterEnalBlue。

在以色列特拉维夫大学，在2019年11月，在2019年11月，在2019年11月，在特拉维夫大学，在以色列的特拉维夫大学，在2019年11月的漏洞中获悉了HUE品牌的漏洞。已修补的固件更新（1935144040）已经在网站上下载。

“关键是，组织和杀戮是通过使用最新的补丁更新其设备并将它们与网络上的其他机器分开来保护自己免受这些可能的攻击来保护自己，以限制恶意软件的可能传播，”Check Point的Balmas说。

“在今天复杂的第五代攻击景观中，我们不能忽视与我们网络相关的任何安全性。”

Philips Hue技术负责人乔治益安尼补充说：“我们致力于保护我们的用户隐私，并尽一切努力使我们的产品安全。我们感谢负责任的披露和检查点的合作 - 它使我们能够开发和部署必要的补丁，以避免任何受风险的消费者。“