搜索

[17165] 2021-08-18_黑莓隐瞒漏洞BadAlloc，暂无解决方法：影响宝马、福特等近2亿汽车

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2021-08-18_黑莓隐瞒漏洞BadAlloc，暂无解决方法：影响宝马、福特等近2亿汽车 黑 莓 隐 瞒 漏 洞 B a d A l l o c ， 暂 无 解 决 方 法 ： 影 响 宝 马 、 福 特 等 近 2 亿 汽 车 三 分 浅 土   F r e e B u f   2 0 2 1 - 0 8 - 1 8 C I S A 就 黑 莓 产 品 中 的 B a d A l l o c 漏 洞 发 布 警 报 ， 该 漏 洞 影 响 近 近 2 亿 亿 辆 汽 车 以 及 成 千 上 万 的 工 业 控 制 、 医 疗 工 具 等 设 备 。 漏 洞 影 响 近 漏 洞 影 响 近 2 亿 亿 辆 汽 车 辆 汽 车 8 月 1 7 日 ， 黑 莓 公 司 发 布 公 告 称 其 用 于 医 疗 设 备 、 汽 车 、 工 厂 医 疗 设 备 、 汽 车 、 工 厂 甚 至 国 际 空 间 站 国 际 空 间 站 的 Q N X 实 时 操 作 系 统 可 能 受 到 漏 洞 B a d A l l o c 的 影 响 。 前 不 久 ， 黑 莓 公 司 刚 刚 宣 传 该 实 时 操 作 系 统 已 在 2 亿 辆 汽 车 上 投 入 使 用 。 B a d A l l o c 是 一 个 整 数 溢 出 漏 洞 集 合 整 数 溢 出 漏 洞 集 合 ， 涵 盖 了 超 过 2 5 个 漏 洞 ， 影 响 多 个 黑 莓 Q N X 系 统 的 C 语 言 运 行 库 中 的 c a l l o c ( ) 函 数 。 利 用 该 漏 洞 可 以 使 受 影 响 设 备 出 现 拒 绝 服 务 的 情 况 或 执 行 任 意 代 码 。 要 利 用 这 一 漏 洞 ， 攻 击 者 必 须 控 制 调 用   c a l l o c ( ) 函 数 的 参 数 ， 并 能 控 制 分 配 后 的 内 存 访 问 。 如 果 受 影 响 的 产 品 正 在 运 行 ， 并 且 受 影 响 的 设 备 暴 露 在 互 联 网 上 ， 那 么 有 网 络 访 问 权 的 攻 击 者 可 以 远 程 利 用 这 个 漏 洞 。 该 漏 洞 影 响 范 围 如 下 ：
据 黑 莓 称 ， 该 漏 洞 没 有 解 决 方 法 该 漏 洞 没 有 解 决 方 法 ， 但 他 们 指 出 ， 用 户 可 以 通 过 启 用 启 用 A S L R 地 址 空 间 随 机 化 地 址 空 间 随 机 化 来 降 低 受 攻 击 的 可 能 性 。 目 前 ， C I S A 还 没 有 捕 捉 到 对 这 一 漏 洞 的 利 用 ， 但 关 键 基 础 设 施 组 织 和 其 他 开 发 、 维 护 、 支 持 或 使 用 受 影 响 的 基 于 Q N X 的 系 统 的 组 织 ， 应 当 尽 快 修 补 受 影 响 的 产 品 。 黑 莓 曾 试 图 隐 瞒 该 漏 洞 黑 莓 曾 试 图 隐 瞒 该 漏 洞 据 P o l i t i c o 消 息 ， 两 名 相 关 人 士 （ 其 中 一 名 是 政 府 官 员 ） 表 示 ， 黑 莓 最 初 否 认 最 初 否 认   B a d A l l o c 漏 洞 对 其 产 品 有 影 响 漏 洞 对 其 产 品 有 影 响 ， 并 且 拒 绝 公 开 声 明 拒 绝 公 开 声 明 承 认 此 事 。 在 C I S A 的 督 促 下 ， 黑 莓 才 承 认 该 漏 洞 的 存 在 。 今 年 4 月 ， 微 软 的 安 全 研 究 人 员 就 发 现 了 该 漏 洞 ， 并 且 发 现 该 漏 洞 存 在 于 多 家 公 司 的 操 作 系 统 和 软 件 中 。 5 月 ， 一 些 受 影 响 的 公 司 与 国 土 安 全 部 的 网 络 安 全 和 基 础 设 施 安 全 局 合 作 ， 公 开 披 露 了 漏 洞 并 敦 促 用 户 修 补 他 们 的 设 备 。 但 是 黑 莓 却 不 在 其 中 。 据 透 露 ， 黑 莓 打 算 私 下 直 接 联 系 客 户 ， 以 提 醒 该 漏 洞 的 存 在 。 黑 莓 打 算 私 下 直 接 联 系 客 户 ， 以 提 醒 该 漏 洞 的 存 在 。 事 实 上 ， 黑 莓 并 不 是 唯 一 这 么 做 的 公 司 。 许 多 企 业 喜 欢 私 下 提 醒 用 户 修 复 ， 因 为 这 样 可 以 避 免 让 攻 击 者 趁 机 攻 击 ， 也 可 以 减 少 因 漏 洞 带 来 的 负 面 评 价 以 及 经 济 损 失 。 但 是 私 下 通 知 的 形 式 只 能 提 醒 一 小 部 分 受 影 响 的 公 司 。 黑 莓 告 诉 C I S A ， 他 们 无 法 识 别 每 一 个 使 用 该 系 统 的 个 人 、 企 业 ， 以 向 他 们 发 出 警 告 。 并 且 ， 随 着 时 间 的 推 移 ， 黑 莓 也 意 识 到 了 公 开 披 露 或 许 会 带 来 更 多 的 好 处 。 因 此 ， 最 终 黑 莓 同 意 了 发 布 公 告 以 督 促 用 户 进 行 升 级 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理