總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號(hào)信源大廈3206-3211室 郵編：510660
安全公告編號(hào):CNTA-2017-0074
近日，國(guó)家信息安全漏洞共享平臺(tái)（CNVD）收錄了船舶通信平臺(tái)AmosConnect 8 存在后門與SQL注入漏洞（CNVD-2017-27849對(duì)應(yīng)CVE-2017-3222、CNVD-2017-27843對(duì)應(yīng)CVE-2017-3221），允許通過(guò)身份驗(yàn)證的攻擊者完全控制AmosConnect服務(wù)器。
一、漏洞情況分析
AmosConnect 8（簡(jiǎn)稱AC8）是在海洋環(huán)境中與衛(wèi)星設(shè)備協(xié)同工作的平臺(tái)，是移動(dòng)衛(wèi)星服務(wù)提供商Inmarsat集團(tuán)旗下的產(chǎn)品，該產(chǎn)品是一個(gè)受密碼保護(hù)的船載通信平臺(tái)，能夠通過(guò)衛(wèi)星連接為船只提供互聯(lián)網(wǎng)服務(wù)，船員可通過(guò)該平臺(tái)訪問(wèn)船上互聯(lián)網(wǎng)服務(wù)，提供的服務(wù)包括：電子郵件、即時(shí)通信、定位報(bào)告、船員互聯(lián)網(wǎng)、自動(dòng)文件傳輸、應(yīng)用程序集成等。
根據(jù)安全廠商IOActive10月26日發(fā)布的報(bào)告，AtmosConnect8平臺(tái)存在秘密后門賬戶，研究人員在AtmosConnect源代碼中審計(jì)一個(gè)名為“authenticateBackdoorUser”函數(shù)時(shí)發(fā)現(xiàn)了這個(gè)后門賬號(hào)，該后門賬號(hào)的用戶名在每臺(tái)設(shè)備上是唯一的，每個(gè)AC8登錄界面均會(huì)顯示“Post Office ID”。任何人均可查看AtmosConnect的源代碼，通過(guò)authenticateBackdoorUser逆向推算出密碼。攻擊者可借助該漏洞濫用AmosConnect任務(wù)管理器在遠(yuǎn)程系統(tǒng)上執(zhí)行具有SYSTEM權(quán)限的命令。另外，在登錄表單處存在一處SQL注入漏洞攻擊者可訪問(wèn)內(nèi)部數(shù)據(jù)庫(kù)存儲(chǔ)的憑證。
當(dāng)前這類服務(wù)器通常位于船舶IT網(wǎng)絡(luò)內(nèi)，要利用這些漏洞較為困難，入侵者需要通過(guò)物理訪問(wèn)這臺(tái)PC，這就要求入侵者獲取船只和PC訪問(wèn)權(quán)。雖然存在遠(yuǎn)程訪問(wèn)的可能性，但廠商Inmarsat在岸上部署的防火墻已阻止了這種訪問(wèn)，因此遠(yuǎn)程訪問(wèn)的可能性較小。CNVD對(duì)漏洞的綜合評(píng)級(jí)均為“中危”。
二、漏洞影響范圍
AmosConnect 8
三、漏洞處置建議
針對(duì)此次的報(bào)告，Inmarsat廠商發(fā)表聲明稱：公司已告知客戶，該服務(wù)于今年7月停止使用，公司繼續(xù)將AmosConnect 7作為主推產(chǎn)品。并在此之前已經(jīng)發(fā)布了安全補(bǔ)丁，從而大大降低了潛在風(fēng)險(xiǎn)。公司還采取措施防止用戶通過(guò)公共網(wǎng)站下載并激活A(yù)C8。Inmarsat的中央服務(wù)器不與AmosConnect8電子郵件客戶端連接，因此客戶無(wú)法使用該軟件。請(qǐng)關(guān)注廠商主頁(yè)：http://www.inmarsat.com/news/inmarsat-response-to-ioactive-claims/
附：參考鏈接：
http://www.cnvd.org.cn/flaw/show/CNVD-2017-27843
http://www.cnvd.org.cn/flaw/show/CNVD-2017-27849