ThroughTek P2P SDK信息泄露缝隙（CVE-2021-32934）
颁布功夫 2021-06-160x00 缝隙概述
CVE ID | CVE-2021-32934 | 时 间 | 2021-06-16 |
类 型 | 信息泄露 | 等 级 | 严沉 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 低 | 可用性 | 无 |
用户交互 | 无 | 所需权限 | 无 |
PoC/EXP | 已公开 | 在野利用 | 否 |
0x01 缝隙详情
2021年06月15日，美国网络安全和基础设施安全局 (CISA)颁布预警，数以百万计的联网安全和家用摄像头蕴含一个信息泄露缝隙（CVE-2021-32934），其CVSS v3根基评分为9.1 。
该缝隙存在于ThroughTek的P2P SDK中 。由于本地设备和ThroughTek 服务器之间明文传输数据，远程攻击者能够通过利用此缝隙窃取敏感信息 。并且该组件已被多家安全摄像头的原始设备造作商 (OEM) 以及物联网设备造作商使用，例如婴儿和宠物监控摄像头，以及机械人和电池设备 。
未授权查看这些设备的信息将导致诸多问题：对于关键基础设施运营商和企业而言，音视频信息会泄录感的业务数据、出产或竞争机密、可用于物理攻击的平面图信息以及员工信息等；而对于家庭用户来说，将泄露其隐衷 。
影响领域：
3.1.10以下版本
带有nossl标签的SDK版本
不使用AuthKey进行IOTC衔接的设备固件
使用AVAPI�？槎黄粲肈TLS机造的设备固件
使用P2PTunnel或RDT�？榈纳璞腹碳�
0x02 措置建议
目前此缝隙已经建复，ThroughTek建议有关造作商执行以下缓解措施：
若是 SDK版本 >= 3.1.10 ，请启用 authkey 和 DTLS 。
若是 SDK版本< 3.1.10，请将库升级到 v3.3.1.0 或 v3.4.2.0 并启用 authkey/DTLS 。
官方链接：
https://www.throughtek.com/about-throughteks-kalay-platform-security-mechanism/
通用安全建议
尽量削减所有节造系统设备或系统的网络露出情况，并确保它们不能从互联网接见 。
将节造系统网络和远程设备置于防火墙之后，并将其与贸易网络隔离 。
当必要远程接见时使用安全的步骤，如虚构专用网络（VPN），并确保VPN是最新版本 。
0x03 参考链接
https://us-cert.cisa.gov/ics/advisories/icsa-21-166-01
https://threatpost.com/millions-connected-cameras-eavesdropping/166950/
https://www.throughtek.com/about-throughteks-kalay-platform-security-mechanism/
0x04 功夫线
2021-06-15 CISA颁布安全布告
2021-06-16 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号