搜索

[7391] 2021-08-24_黑莓承认：因为漏洞疏忽，2亿汽车恐被攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2021-08-24_黑莓承认：因为漏洞疏忽，2亿汽车恐被攻击 黑 莓 承 认 ： 因 为 漏 洞 疏 忽 ， 2   亿 汽 车 恐 被 攻 击 安 全 小 E   E 安 全   2 0 2 1 - 0 8 - 2 4 C A U T I O N 拖 延 数 月 ， 黑 莓 终 于 修 复 了 Q N X 操 作 系 统 的 B a d A l l o c 安 全 漏 洞 。 尽 管 企 业 通 常 不 愿 公 开 披 露 软 件 漏 洞 ， 但 若 没 有 外 界 的 压 力 ， 终 端 软 硬 件 客 户 很 可 能 要 等 待 很 久 ， 才 能 拿 到 官 方 的 修 复 补 丁 。 以 黑 莓 为 例 ， 在 美 国 国 土 安 全 部 介 入 数 月 之 后 ， 该 公 司 终 于 在 本 周 二 正 式 披 露 了 位 于 其   Q N X   操 作 系 统 中 的 一 个   B a d A l l o c   安 全 漏 洞 。
几 个 月 来 ， 黑 莓 操 作 系 统 的 B a d A l l o c 安 全 漏 洞 一 直 存 在 漏 洞 ， 该 漏 洞 使   2   亿 辆 汽 车 以 及 医 院 和 工 厂 的 系 统 处 于 危 险 之 中 。 “ 这 确 实 引 发 了 一 场 新 的 辩 论 。 在 任 何 情 况 下 ， 将 如 此 广 泛 的 漏 洞 保 密 是 有 益 的 吗 ？ ”   N T T   应 用 安 全 战 略 副 总 裁   S e t u   K u l k a r n i   说 。 “ 毕 竟 ， 与 物 理 对 抗 性 威 胁 不 同 ， 网 络 威 胁 无 法 被 边 界 或 条 约 看 到 或 遏 制 。 在 这 种 情 况 下 ， 越 早 披 露 ， 就 能 越 早 推 出 预 防 措 施 。 ” B a d A l l o c   漏 洞 于 去 年   4   月 由 微 软 研 究 人 员 首 次 发 现 ， 他 们 在 多 家 公 司 的 操 作 系 统 和 软 件 中 发 现 了 该 漏 洞 。 一 个 月 后 ， 网 络 安 全 和 基 础 设 施 安 全 局   ( C I S A )   的 公 告 警 告 必 须 修 补 该 漏 洞 。 但 黑 莓 直 到 周 二 才 发 现 其   Q N X   操 作 系 统 存 在 漏 洞 ， 且 并 没 有 采 取 行 动 或 公 开 警 告 组 织 。 B l a c k B e r r y   Q N X   软 件 开 发 平 台   ( S D P )   6 . 5 . 0 S P 1   及 更 早 版 本 、 Q N X   O S   f o r   M e d i c a l   1 . 1   及 更 早 版 本 和 Q N X   O S   f o r   S a f e t y   1 . 0 . 1 受 影 响 版 本 中 运 行 时 库 的 c a l l o c ( ) 函 数 中 的 整 数 溢 出 漏 洞 。 黑 莓 表 示 ， 早 些 时 候 “ 可 能 允 许 成 功 的 攻 击 者 执 行 拒 绝 服 务 或 执 行 任 意 代 码 ” ， 并 强 调 没 有 证 据 表 明 该 漏 洞 已 被 利 用 。       黑 莓 的 披 露 引 发 了   C I S A   的 警 告 ， 该 警 告 指 出 黑 莓   Q N X   R T O S   存 在 于 广 泛 的 产 品 中 。 该 机 构 表 示 ， 妥 协 “ 可 能 导 致 恶 意 行 为 者 控 制 高 度 敏 感 的 系 统 ， 增 加 国 家 关 键 职 能 的 风 险 。 ”
推 荐 阅 读 ： 更 多 网 络 欺 诈 的 潜 在 威 胁 网 络 安 全 是 企 业 转 向 数 字 化 改 革 模 式 的 重 中 之 重 数 据 的 需 求 与 数 据 供 应 链 挑 战 齐 头 并 进 美 国 电 信 运 营 商 T - M o b i l e 就 数 据 泄 露 一 事 展 开 调 查 提 升 网 络 弹 性 和 应 对 政 府 信 息 安 全 挑 战 数 据 蔓 延 ： 云 数 据 挑 战 巴 西 宣 布 成 立 国 家 数 据 保 护 委 员 会 C I S A   敦 促 产 品 使 用 易 受 攻 击 版 本 的 制 造 商 联 系 黑 莓 获 取 补 丁 。 “ 开 发 独 特 版 本 的   R T O S   软 件 的 产 品 制 造 商 应 该 联 系 黑 莓 以 获 取 补 丁 代 码 ， ” 警 报 说 。 该 公 司 表 示 ， 将   B a d A l l o c   保 密 的 理 由 听 起 来 很 可 疑 ， 但 它 表 示 “ 一 旦 调 查 完 成 并 发 布 软 件 更 新 ” ， 就 会 发 布 安 全 公 告 ， 但 确 实 提 供 了 鼓 励 用 户 实 施 的 更 新 。 随 着 对 供 应 链 的 一 次 又 一 次 攻 击 ， 黑 莓 不 愿 上 市 是 难 以 理 解 的 。 B r e a c h Q u e s t   的 首 席 信 息 安 全 官   A J   K i n g   表 示 ： “ 这 种 硬 碰 硬 的 方 法 继 续 卷 土 重 来 。 ”   “ 软 件 供 应 链 问 题 现 在 是 主 流 ， 是 敲 诈 勒 索 软 件 和 僵 尸 网 络 的 门 户 药 物 。 ” K i n g   指 出 ： “ 与 提 前 采 取 主 动 措 施 向 消 费 者 表 明 您 正 在 尽 一 切 努 力 保 护 他 们 的 数 据 （ 在 这 种 情 况 下 ， 他 们 的 物 理 安 全 ） 安 全 相 比 ， 被 迫 披 露 总 是 更 糟 糕 。 ”   他 主 张 “ 让 经 验 丰 富 的 安 全 主 管 在 谈 判 桌 前 占 有 一 席 之 地 ， 并 确 保 他 们 直 接 向 董 事 会 负 责 。 ”   金 说 ， 这 是 朝 着 “ 破 坏 尽 可 能 长 时 间 保 持 安 静 的 有 毒 管 理 文 化 ” 迈 出 的 良 好 第 一 步 。 K u l k a r n i   承 认 黑 莓 可 能 已 经 将 信 息 披 露 视 为 “ 在 使 用   Q N X   的 设 备 上 描 绘 目 标 ” ， 他 争 辩 说 ， 假 设 “ 网 络 犯 罪 分 子 在 这 个 时 代 等 待 信 息 披 露 是 幼 稚 的 ” 。 由 于 拜 登 总 统 签 署 了 关 于 缓 解 供 应 链 风 险 的 行 政 命 令 ( E O ) ， “ 信 息 共 享 的 推 动 力 增 强 了 — — 这 应 该 是 大 多 数 （ 如 果 不 是 全 部 ） 披 露 的 前 进 方 法 ， 尤 其 是 当 没 有 全 面 的 信 息 披 露 时 K u l k a r n i   说 ： “ 我 们 可 以 私 下 接 触 拥 有 数 亿 个 系 统 使 用 其 组 件 的 制 造 商 。 ” 黑 莓 从 私 人 披 露 转 向 公 开 披 露 ， 这 表 明 黑 莓 确 定 无 法 完 全 估 计 其   Q N X   系 统 的 扩 散 程 度 ， ” 他 说 。 “ 此 外 ， 鉴 于   B a d A l l o c   的 披 露 已 经 公 开 ， 较 早 的 披 露 可 能 会 加 快 预 防 措 施 ， 以 防 止 基 于   Q N X   的 系 统 上 或 通 过   Q N X   系 统 进 行 漏 洞 利 用 。 ” 不 幸 的 是 ， 黑 莓 沉 默 的 代 价 可 能 是 以 声 誉 资 本 为 代 价 的 。 “ 他 们 不 再 只 是 受 此 漏 洞 影 响 的 公 司 名 单 上 的 另 一 家 公 司 ， 他 们 现 在 有 一 个 故 事 ， 专 门 讲 述 他 们 有 意 做 出 的 将 影 响 降 至 最 低 的 决 定 ， ” 金 说 。 “ 在 当 今 世 界 ， 没 有 人 期 望 完 美 。 事 情 发 生 。 但 是 ， 在 您 的 业 务 实 践 中 表 现 出 您 的 诚 信 并 保 持 问 责 制 将 使 您 与 竞 争 对 手 区 分 开 来 。 如 果 我 从   B l a c k B e r r y   采 购 ， 我 会 问 自 己 ， ' 他 们 还 隐 藏 了 什 么 ？ ' ”
注 ： 本 文 由 E 安 全 编 译 报 道 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理