日本計算機緊急響應(yīng)小組（CERT）警告稱 ，黑客正在利用I-O Data路由器設(shè)備中的零日漏洞來修改設(shè)備設(shè)置、執(zhí)行命令，甚至關(guān)閉防火墻。

I-O Data在其網(wǎng)站上發(fā)布的安全公告中承認確實存在三個零日漏洞，但目前暫無完整的修復(fù)補丁，預(yù)計將在2024年12月18日發(fā)布，因此在此之前用戶將面臨比較嚴重的風(fēng)險。

上述三個零日漏洞在2024年11月13日被發(fā)現(xiàn)，包括信息泄露、遠程任意操作系統(tǒng)命令執(zhí)行和導(dǎo)致防火墻禁用的漏洞。

具體如下：

• CVE-2024-45841：敏感資源上的不當權(quán)限配置，導(dǎo)致低權(quán)限用戶可以訪問關(guān)鍵文件。
• CVE-2024-47133：認證的管理員用戶可以在設(shè)備上注入并執(zhí)行任意操作系統(tǒng)命令，利用配置管理中的輸入驗證不充分漏洞。
• CVE-2024-52464：固件中的未記錄特性或后門可導(dǎo)致遠程攻擊者在無需認證的情況下，關(guān)閉設(shè)備防火墻并修改設(shè)置。

受影響的設(shè)備：這些漏洞影響UD-LT1和UD-LT1/EX設(shè)備，前者是為多功能連接解決方案設(shè)計的混合LTE路由器，而后者是工業(yè)級版本。

最新可用的固件版本v2.1.9僅解決了CVE-2024-52564漏洞，I-O Data表示其他兩個漏洞的修復(fù)將在計劃于2024年12月18日發(fā)布的v2.2.0版本中提供。比較糟糕的消息是，已經(jīng)有客戶因為這些漏洞而遭到黑客攻擊。

I-O Data安全公告指出，“已收到使用混合LTE路由器UD-LT1和UD-LT1/EX的客戶的咨詢，這些客戶報告了來自外部來源的潛在未經(jīng)授權(quán)訪問。”

在安全更新發(fā)布之前，I-O Data 建議用戶實施以下緩解措施：

• 禁用所有互聯(lián)網(wǎng)連接方式的遠程管理功能，包括WAN端口、調(diào)制解調(diào)器和VPN設(shè)置。
• 僅限VPN連接的網(wǎng)絡(luò)訪問，以防止未經(jīng)授權(quán)的外部訪問。
• 將默認的“訪客”用戶的密碼更改為超過10個字符的更復(fù)雜的密碼。
• 定期監(jiān)控和驗證設(shè)備設(shè)置，以盡早檢測未經(jīng)授權(quán)的更改，并在檢測到泄露時將設(shè)備重置為出廠默認設(shè)置并重新配置。

不過國內(nèi)的企業(yè)用戶不需要太過擔(dān)心，因為I-O DATA UD-LT1和UD-LT1/EX LTE路由器主要在日本市場銷售，旨在支持NTT Docomo和KDDI等多個運營商，并兼容該國的主要MVNO SIM卡。

參考來源：https://www.bleepingcomputer.com/news/security/japan-warns-of-io-data-zero-day-router-flaws-exploited-in-attacks/