首页 行业动态正文

云安全日报200826:微软物联网安全解决方案发现特权提升漏洞,需要尽快升级

云返利网 行业动态 2020-08-26 22:36:00 2 0

北纬科技:目前物联网为主要业务方向

同花顺(300033)金融研究中心8月26日讯,有投资者向北纬科技(002148)提问, 公司账上躺着这么多货币资金,为什么不去收购些高科技资产?为什么不思进取去买理财?为什么企业名字中有科技二字,而实际的主营收入是物业出租? 公司回答

Azure Sphere是微软公司一款打造高度安全的、连接互联网的微处理器设备。它包含Azure Sphere认证微处理器、Azure Sphere操作系统和Azure Sphere安全服务三大组件,协力保护和助力数十亿的设备。它基于 Microsoft 在硬件、软件和云方面数十年的经验构建而成,为 IoT 设备提供一站式安全解决方案。不过8月25日,根据Cisco Talos(思科安全研究团队)披露,最近解决的Microsoft Azure Sphere漏洞可能导致执行任意代码或提升特权。

Talos的安全研究人员在Azure Sphere 20.06,Azure Sphere 20.07中发现了总共四个漏洞,其中两个可能导致执行未签名的代码,另外两个导致特权升级。其中两个代码执行漏洞都会影响“正常情况下Microsoft Azure Sphere的已签名代码执行功能”。尽管微软解决了所有漏洞,但是并没有发布CVE。以下是漏洞详情:

漏洞详情

第一个漏洞驻留在Normal World应用程序READ_IMPLIES_EXEC个性中,并且可以通过特制的shellcode(shellcode是一段用于利用软件漏洞而执行的代码,shellcode为16进制的机器码,因为经常让攻击者获得shell而得名)触发,这将导致进程的可写堆变为可执行文件。

第二个漏洞是在/ proc / thread-self / mem中找到,可以通过特制的shellcode加以利用,这些shellcode旨在导致写入进程的不可写内存。因此,攻击者可能会提供旨在修改程序并触发错误的shellcode。

思科Talos的安全研究人员发现了功能访问控制功能中的特权升级问题,并发现攻击者可以利用shellcode锁定漏洞并通过特制的ptrace syscall(跟踪进程的系统调用)来获得更高的特权。

工业物联网存在的意义到底是什么?

工业物联网分析和机器学习公司需要衡量它们在计算量很小的情况下的表现 随着工业物联网项目逐渐远离以云计算为中心的方法,人工智能和工业物联网演进的下一步将满足将算法转换为边缘计算工作的需求,而占用空间要小得多。 据调研机构 Gar

至于第二个特权提升漏洞,它是在Microsoft Azure Sphere 20.06 的uid_map功能中发现的,可以通过特制的uid_map文件加以滥用。通过使多个应用程序具有相同的UID,攻击者可以确保使用系统应用程序的UID执行用户应用程序。

受影响产品和版本

目前已知上述漏洞会影响Azure Sphere 20.06,Azure Sphere 20.07两个版本

解决方案

微软已在Azure Sphere 20.08中发布了改进和修补程序

查看更多漏洞信息 以及升级请访问官网:

https://techcommunity.microsoft.com/t5/internet-of-things/azure-sphere-20-08-security-updates/ba-p/1604788

公开课第34期笔记:锐成芯微“搭积木”式IP平台助力物联网芯片快速设计

  集微网消息 集微直播间自开播以来获得了大量来自行业的关注与好评。其中“集微公开课”栏目联合行业头部企业,通过线上直播的方式分享精彩主题内容,同时设立直播间文字提问互动环节。集微网希望将“集微公开课”栏目打造成中国ICT产

【关于云返利网】

云返利网是阿里云、腾讯云、华为云产品推广返利平台,在各个品牌云产品官网优惠活动之外,云返利网还提供返利。您可以无门槛获得阿里云、华为云、腾讯云所有产品返利,在官网下单后就可以领取,无论是自己用、公司用还是帮客户采购,您个人都可以获得返利。云返利网的目标是让返利更多、更快、更简单!详情咨询13121395187(微信同号)