压在透明的玻璃上c-国产精品国产一级A片精品免费-国产精品视频网-成人黄网站18秘 免费看|www.tcsft.com

一名安全研究人員表示，他發(fā)現(xiàn)了一個(gè)交通信號(hào)控制器的漏洞。惡意黑客或能利用該漏洞改變交通信號(hào)燈，制造交通堵塞。

網(wǎng)絡(luò)安全公司Red Threat的研究員Andrew Lemon近日發(fā)表了兩篇博客文章，詳細(xì)介紹了他在調(diào)查交通信號(hào)控制器安全性時(shí)發(fā)現(xiàn)的研究結(jié)果。

Lemon研究的一種設(shè)備型號(hào)是Intelight X-1。他表示，在該設(shè)備上發(fā)現(xiàn)了一個(gè)漏洞，允許任何人完全控制交通信號(hào)燈。根據(jù)Lemon的說法，這是一個(gè)非常簡(jiǎn)單的基礎(chǔ)性漏洞：設(shè)備暴露在互聯(lián)網(wǎng)上的網(wǎng)頁(yè)界面，且沒有認(rèn)證機(jī)制。

Lemon告訴外媒TechCrunch：“我簡(jiǎn)直不敢相信。如此明顯的問題居然會(huì)被忽略，令我感到震驚。”

Lemon說，他試著驗(yàn)證是否可以觸發(fā)，類似電影《偷天換日》中所展示的場(chǎng)景——黑客將所有十字路口的燈都切換為綠燈。不過，一種名為故障管理單元的設(shè)備令這種情況無(wú)法成真。

Lemon表示：“我們?nèi)匀豢梢愿男盘?hào)燈的時(shí)間設(shè)置。例如，可以將一個(gè)方向的切換時(shí)間設(shè)置為三分鐘，另一個(gè)方向設(shè)置為三秒鐘。在物理世界中，這大抵是一種拒絕服務(wù)攻擊，因此可以堵塞交通。”

目前尚不清楚有多少易受攻擊的Intelight設(shè)備可以從互聯(lián)網(wǎng)訪問。Lemon表示，他帶領(lǐng)的團(tuán)隊(duì)發(fā)現(xiàn)了大約30個(gè)暴露的設(shè)備。

研究員稱制造商拒絕修漏洞并警告他們

Lemon說，他聯(lián)系了Intelight的制造公司Q-Free，報(bào)告了這個(gè)漏洞。但根據(jù)Lemon的說法，Q-Free沒有回應(yīng)并與他合作修復(fù)這個(gè)漏洞，反而給他發(fā)了一封法律信件。他在博客文章中發(fā)布了該信件的副本。

信件副本中寫道：“我們只接受與目前在售的Q-Free產(chǎn)品相關(guān)的漏洞報(bào)告。我們沒有足夠的資源來處理對(duì)過時(shí)產(chǎn)品的分析。”該信件似乎由Q-Free的總法律顧問Steven D. Tibbets簽署。

信件副本中還說，Lemon分析的設(shè)備并不在售，而且他和Red Threat研究該設(shè)備的方式可能違反了美國(guó)反黑客法《計(jì)算機(jī)欺詐和濫用法》。公司沒有具體說明Lemon的研究可能如何違反法律。信中要求Lemon和Red Threat承諾不公布漏洞的詳細(xì)信息，因?yàn)檫@可能危害國(guó)家安全。

信中寫道：“我們還敦促Red Threat考慮發(fā)布對(duì)使用Q-Free設(shè)備的關(guān)鍵基礎(chǔ)設(shè)施安全性的影響。與您所述的改善網(wǎng)絡(luò)安全的目標(biāo)相反，漏洞的發(fā)布可能會(huì)鼓勵(lì)對(duì)基礎(chǔ)設(shè)施的攻擊，并給Red Threat帶來相關(guān)責(zé)任。”

Lemon表示，他對(duì)這封信感到驚訝，并說“真的感覺他們只是想通過法律威脅和其他手段讓我保持沉默。”

制造商稱產(chǎn)品早已停產(chǎn)，客戶應(yīng)限制公網(wǎng)訪問

Q-Free的發(fā)言人Trisha Tunilla告訴TechCrunch：“需要指出的是，涉事控制器早在近十年前就停產(chǎn)了。”

Tunilla在一封電子郵件中寫道：“根據(jù)我們的記錄，無(wú)法確認(rèn)這些控制器是否都已更新。然而，如果這些舊控制器仍在使用，強(qiáng)烈建議客戶立即聯(lián)系我們，以便我們提供指導(dǎo)和解決方案。”

關(guān)于Q-Free總法律顧問發(fā)出的信件，Tunilla表示：“這是我們法律部門處理此類詢問的標(biāo)準(zhǔn)程序。”

Lemon表示，通過研究，他還發(fā)現(xiàn)了一些由Econolite制造的交通控制器設(shè)備暴露在互聯(lián)網(wǎng)上，并運(yùn)行一種可能存在漏洞的協(xié)議。

該協(xié)議稱為NTCIP，是交通信號(hào)控制器的行業(yè)標(biāo)準(zhǔn)。Lemon表示，對(duì)于那些暴露在互聯(lián)網(wǎng)上的設(shè)備，黑客無(wú)需登錄即可更改系統(tǒng)中的數(shù)值。這些數(shù)值可以控制燈光閃爍的時(shí)間，或者設(shè)置十字路口所有燈光同時(shí)閃爍。

Lemon說，他沒有聯(lián)系Econolite，因?yàn)镹TCIP問題已被先前知曉。

Econolite工程副總裁Sunny Chakravarty在接受TechCrunch采訪時(shí)證實(shí)了這一點(diǎn)。Chakravarty告訴TechCrunch，Lemon測(cè)試的Econolite設(shè)備已“報(bào)廢多年，所有用戶應(yīng)將這些舊控制器更換為合適的新型產(chǎn)品。”

Chakravarty表示：“Econolite強(qiáng)烈建議客戶遵循網(wǎng)絡(luò)安全和訪問控制的最佳實(shí)踐，限制所有關(guān)鍵設(shè)備在開放的公共互聯(lián)網(wǎng)上的訪問。如果設(shè)備未暴露在開放的互聯(lián)網(wǎng)，作者的行為是不可能實(shí)現(xiàn)的。”

參考資料：https://techcrunch.com/2024/07/18/hackers-could-create-traffic-jams-thanks-to-flaw-in-traffic-light-controller-researcher-says/

來源：安全內(nèi)參