最近在ThroughTek的Kalay平台中发现了4个安全漏洞，导致数百万物联网设备暴露在外。本文探讨了互联家庭面临的安全风险以及物联网设备面临的更广泛的威胁。立即行动 – 保护您的智能设备！

之前分享的Bitdefender研究显示，物联网(IoT)带来了一个设备互联的世界，但这种连接也带来了阴暗面——安全漏洞。

Bitdefender的IoT研究人员在ThroughTek的Kalay Platform(TUTK)驱动的设备中发现了多个漏洞，TUTK是一种广泛用于物联网监控设备的软件服务，用于创建专用的物联网生态系统。由于该平台广泛存在于物联网集成中，这些漏洞使全球约1亿多台设备面临风险。

1. CVE-2023-6321允许经过身份验证的用户以 root 用户身份运行系统命令，从而完全危害设备。
2. CVE-2023-6322允许攻击者通过 IOCTL 消息处理程序中基于堆栈的缓冲区溢出漏洞获得根访问权限，专门用于摄像机运动检测区域。
3. CVE-2023-6323允许本地攻击者获取 AuthKey 密钥，从而使他们能够与受害者的设备建立初步连接。
4. CVE-2023-6324利用一个漏洞，允许攻击者推断 DTLS 会话的预共享密钥，这是与受害者设备连接和通信的关键先决条件。

这些漏洞串联在一起，允许在本地网络内进行未经授权的root访问，并且当从本地网络探测设备时，可以执行远程代码。

Bitdefender的博客文章揭示了使用ThroughTek Kalay解决方案通过TUTK SDK通过互联网与客户端进行通信的三种主要设备-Owlet Cam v1、Wyze Cam v3和Roku Indoor Camera SE，并确认它们受到大多数漏洞的影响。

在这些设备上，这些漏洞将允许本地攻击者泄露AuthKey秘密，这是平台的智能手机应用程序用于连接到设备并拒绝没有正确密钥的请求的秘密字符串。

此外，攻击者可以推断DTLS会话的预共享密钥，并使经过身份验证的用户能够以根用户身份运行系统命令，从而导致设备受损。

此外，研究人员成功地以菊花链方式连接了CVE-2023-6322、CVE-2023-6323和CVE-2023-6324，以root用户身份运行操作系统命令，这可能会让攻击者窥探、传播恶意软件并实现横向移动。供您参考，菊花链漏洞意味着同时利用多个系统弱点来实现更大的目标。

Bitdefender于2023年10月19日向ThroughTek发送了漏洞报告。供应商确认了这些问题，并于2024年4月16日之前修复了所有受影响的SDK版本，之后于2024年5月15日发布了协调一致的漏洞披露。固件和SDK的更新版本为可用的。受影响的设备用户必须立即修补以防止被利用。