- A+
所属分类：未分类
它使攻击者可以轻松找到接管并添加到僵尸网络的设备。
一些用于运营商ISP服务的华为路由器的漏洞允许网络犯罪分子识别设备是否具有默认凭证 - 无需连接它们。
CVE-2018-7900存在于路由器面板中，允许凭证信息泄露 - 因此攻击者可以简单地执行ZoomEye或Shodan IoT搜索，以查找具有默认密码的设备列表 - 无需强制执行或冒险进入通用蜜罐。
“当有人查看登录页面的html源代码时，很少会声明变量。 其中一个变量包含特定值。 通过监控这一特定值，可以得出设备具有默认密码的结论，“NewSky Security首席研究员Ankit Anubhav周三在一篇帖子中解释道。 “攻击者可以直接访问ZoomEye，查找设备列表，登录，并以最少的黑客技能完成他们想要的任务。 就这么简单。“
华为已经发布了修复程序，并与其运营商客户合作，通过网络实施。
NewSky表示，它不会透露这个漏洞的确切细节，也不会透露它在自己的ZoomEye搜索中发现的受影响设备的数量（尽管Anubhav将受影响设备的数量称为“关注”）。
这只是影响航母级装备的最新问题 - 考虑到潜在攻击面的范围，这是一个有问题的趋势。
“可以感染大量物联网设备的攻击媒介比使用在线只有500台设备的供应商中的漏洞更受青睐，”Anubhav说。 “因此，在2018年，我们看到CVE-2018-14847 （MikroTik）和CVE-2014-8361被高度使用。 其中一个共同点是使用漏洞可以滥用的设备数量过多。 因此，大型物联网供应商的安全漏洞可能比通常的问题更为关键。“
