"Интернет вещей" скомпрометирован «дьявольским плющом»

Миллионы девайсов, применяемых в «интернете вещей», находятся под угрозой из-за того, что используют идентичное программное обеспечение. 

Эксперты компании Senrio, специализирующейся на "интернете вещей" нашли баг в работе камер фирмы Axis Communications, одного из крупнейших в мире производителей подобных устройств. Впервые угроза была выявлена в моделе 3004, которая использовалась в Международном Аэропорту Лос Анджелеса. Однако под угрозой могут оказаться "умные вещи" по всему миру - сообщает Linuxinsider

Проблема проявилась в возможности переполнения стека (одного из хранилища информации). Ей дали звучное прозвище Devil's Ivy  - "дьявольский плющ". Axis уведомила охранную фирму о том, что уязвимыми оказались 249 различных моделей камер. Удалось найти только три модели, которые не были затронуты.

Такой высокий уровень угрозы связан с тем, что многие крупные производители используют для сетевых протокольных библиотек один и тот же источник - Открытый Форум Протоколов Сетевого Вещания (ONVIF), - считают эксперты. Это – библиотека общего пользования и дефектные программы могут быть загружены на многие устройства.

«Многие ONVIF устройства работают как веб-серверы. Проблема проявляется, когда на сервер попадают более 2 GB XML-данных, -  описал суть «дьявольского плюща» Генеральный директор Genivia Роберт ван Энгелен.

Как оказалось, корни «дьявольского плюща» растут из бага в стороннем инструментарии с открытым исходным кодом gSOAP. В нем произошла глубокая рекурсия. Это явление, когда функция вызывает саму себя (что похоже на витки плюща), пока хранилище информации не переполнится.  «Данный баг не встречался пользователям, который используют код с 2002 года,» - говорит ван Энгелен.

 После возникновения проблемы, фирма-разработчик Genivia в течении 24 часов выпустила новый патч для gSOAP. Однако озабоченность вызывает тот факт, что клиентами Genivia являются IBM, Microsoft, Adobe и Xerox.

Это не первый раз, когда унифицированность компрометирует «интернет вещей». В прошлом году из-за того, что для доступа к учетной записи администратора на «умных» устройствах применялся один и тот же пароль, возник «червь» и ботнет Mirai.

К сведенью, «дьявольским плющом» садовники и цветоводы называют Синдапсус золотистый (Scindapsus aureus). Данное растение неприхотливо, не подвержено вредителям и, как шутят некоторые домохозяйки, неубиваемо.

Дьявольский плющ - мирное растение, любимое заводчиками цветов