ThroughTek P2P SDK信息泄露缝隙（CVE-2021-32934）

颁布功夫 2021-06-16

0x00 缝隙概述

CVE   ID

CVE-2021-32934

时    间

2021-06-16

类    型

信息泄露

等    级

严重

远程利用

是

影响领域


攻击复杂度

低

可用性

无

用户交互

无

所需权限

无

PoC/EXP

已公开

在野利用

否

 

0x01 缝隙详情

image.png

 

2021年06月15日，，美国网络安全和基础设施安全局 (CISA)颁布预警，，数以百万计的联网安全和家用摄像头蕴含一个信息泄露缝隙（CVE-2021-32934），，其CVSS v3根基评分为9.1 。。。

该缝隙存在于ThroughTek的P2P SDK中 。。。由于本地设备和ThroughTek 服务器之间明文传输数据，，远程攻击者能够通过利用此缝隙窃取敏感信息 。。。并且该组件已被多家安全摄像头的原始设备制作商 (OEM) 以及物联网设备制作商使用，，例如婴儿和宠物监控摄像头，，以及机械人和电池设备 。。。

未授权查看这些设备的信息将导致诸多问题：：对于关键基础设施运营商和企业而言，，音视频信息会泄露敏感的业务数据、、出产或竞争机密、、可用于物理攻击的平面图信息以及员工信息等；；；而对于家庭用户来说，，将泄露其隐衷 。。。

 

影响领域：：

3.1.10以下版本

带有nossl标签的SDK版本

不使用AuthKey进行IOTC衔接的设备固件

使用AVAPI模浚�？槎黄粲肈TLS机制的设备固件

使用P2PTunnel或RDT模浚�？榈纳璞腹碳�

 

0x02 措置建议

目前此缝隙已经修复，，ThroughTek建议有关制作商执行以下缓解措施：：

若是 SDK版本 >= 3.1.10 ，，请启用 authkey 和 DTLS 。。。

若是 SDK版本< 3.1.10，，请将库升级到 v3.3.1.0 或 v3.4.2.0 并启用 authkey/DTLS 。。。

官方链接：：

https://www.throughtek.com/about-throughteks-kalay-platform-security-mechanism/

 

通用安全建议

尽量削减所有节制系统设备或系统的网络露出情况，，并确保它们不能从互联网接见 。。。

将节制系统网络和远程设备置于防火墙之后，，并将其与贸易网络隔离 。。。

当必要远程接见时使用安全的步骤，，如虚构专用网络（VPN），，并确保VPN是最新版本 。。。

 

0x03 参考链接

https://us-cert.cisa.gov/ics/advisories/icsa-21-166-01

https://threatpost.com/millions-connected-cameras-eavesdropping/166950/

https://www.throughtek.com/about-throughteks-kalay-platform-security-mechanism/

 

0x04 功夫线

2021-06-15  CISA颁布安全布告

2021-06-16  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：：http://www.first.org/cvss/

image.png