[S/W] 오픈 소스의 버그 'Devil's Ivy', 수백만 IoT 기기 위협

[ALIVEisANSWER]

위의 영상은 오픈 소스 도구가 사용된 IoT기기 중 하나입니다. (영상이 안보일 경우 출처 참조)

위의 해킹과 같은 문제를 발생시키는 것은 많은 IoT 기기에 사용되는 gSOAP의 커뮤니케이션 레이어의 문제때문입니다.

gSOAP은 IBM, 마이크로소프트, 어도브, 제록스 같은 대형 회사에서도 사용할 정도로 널리 쓰이는 소프트웨어중의 하나이며,

gSOAP를 관리하는 Genvia 사는 이러한 오점이 발견되고 하루도 안돼 패치를 내놓았습니다.

이러한 보안 결함은 2002년부터 있었으며, 보안 결함은 두번 정수 오버플로우를 일으키면 발생하는 것입니다.

이를 위해 2GB의 XML 데이터를 업로드하면 됩니다.

중요한 점은 대부분의 회사들이 이러한 오픈 소스 소프트웨어를 직접 작성한 것이 아니지만

주기적으로 자사에서 제조한 하드웨어와 결합시킨다는 것입니다.

코드가 있었던 연도와 오픈 소스 사용처가 넓다는 측면에서 작년에 발생했던 미라이 봇넷과 같은 사태가 벌어질 수 있습니다.

트렌드 마이크로의 제로 데이 이니셔티브는 잘못 알거나 거의 알지 못하는 채로 오픈 소스를 사용할 경우 

공격자들에게 보안체계를 우회할 수 있는 경로를 제공하는 것이라고 전합니다.

출처 : http://www.linuxinsider.com/story/Open-Source-Flaw-Devils-Ivy-Puts-Millions-of-IoT-Devices-at-Risk-84686.html

[ZIMIX]

쓰기는 많이 쓰는데 기여는 안 하고. 그러면서 문제 생기면 오픈소스가 문제다...

[DynamicX]

제가 가진건 AXIS M3천 시리즈가 아니라 그런가 뭐 좀 틀린듯;

삼성 P6시리즈인데 해당 카메라 IP 치면 관리페이지 열리는 구조가 아니라 정보 가져오라는 gSOAP 호출URI가 좀 다른듯함;
흠.. 카메라IP쳐서 페이지 호출시 위처럼 SOAP응답 주면 해볼랬더니;;;

원래 IP뒤에 /onvif/device_service 이런식으로 정보도 가져오고 리부팅도 되고 리셋도 되고 이거저거 할수 있는데 위처럼 암호안넣으면 '인증안되서안해듐.'
뜨는데 위처럼 더미데이터 2기가 이상 넣어서 80 뻗게 한담에(포트는연결되어있고..) 실제 데이터 주고받아서 실행해주는 쉘 포트인 33153에 직접 명령어 날릴수잇도록 연결한 후에 80 포트는 끊고 31153에 직접 쉘명령어 통해서 리셋코드 변경 후저장해서 http 재연결 하는 방법이네요. 이떄는 리셋됬으니 비번생성하라고 페이지뜨는거고..

영상식으로 접근가능한 카메라에게는 공격대상이 될 수도 있을 듯..

[루리웹-2119639782]

아 작년초에 교수님이 한말이 사실이구나.. iot사물인터넷이 아직은 과도기적이라고 ..

[루리웹-2119639782]

진짜 해킹하고 그런게 맞는말이네.. 무섭다..;;

[엘라피나]

오픈 소스 아니면 버그없나..

[몬스터.[]

어차피 오픈소스의 장단점은 오랜기간동안 알려져왔기때문에 이런걸 제품으로 상업적 이용시에는
완벽하게 자신들이 이해하고 테스트하거나 문제발생시 대응방법을 만들지않고
무책임하게 단지 편하려고 사용하다보면 사고는 당연하다고 봐야죠
오픈소스라는게 누가 책임을 지는것도 지원을 약속하는것도 아닌데 무턱대고 신뢰를 한다는게 말이되지않죠
특히나 그나마 제품 업데이터설계라도되어있다면 모르지만 이미 뿌려진 제품은 결국 사용자가 책임을 떠안을수밖에없는거죠

[몬스터.[]

사용자라는게 오픈소스를 아무 검증없이 사용한 제품제작자들이 책임을 져야하죠;;

[엘드리치]

와치독 : 개꿀

[CCl4Ne]

애초에 저 라이브러리 BSD도 아니고 듀얼 라이선스라 상업적으로 쓰려면 돈 내야 될텐데요
오픈소스가 문제가 아니라 취약점을 조기 발견하지 못한 개발회사와
라이브러리 관리를 엉망으로 하고 유지보수 하기 어려운 구조로 만들어 판 회사가 문제지
왜 오픈소스 이야기가 나오는지 모르겠네요

클로즈드 소스를 구매하여 쓴다고 해도 똑같은 문제인데
오픈소스 걸고 넘어지는거 보면 황당할 따름입니다

[println]

오프소스의 장점은 소스가 공개되어서 수정이 빠르다는것과 공개되서 보안이 좀 약하다는건데..
뭐 장점이 단점을 커버해서.. 그렇다고 클로즈 소스가 안뚫리는것도 아니라.. 윈도우도 심심하면 뚤리는 마당에..