[导读]当今社会物联网设备已经逐步渗透到人们生产生活的方方面面，为人们及时了解自己周围环境以及辅助日常工作带来便利。但随着互联紧密度的增高，物联网设备的安全性问题也逐渐影响到人们的正常生活，甚至生命安全，物联网设备安全不容小觑。

　　以下为近日的物联网安全新闻内容。

　　耶鲁和盖特曼智能门锁0 day漏洞曝光

　　近期，相关实验室爆料，市面上已发售的耶鲁(Yale)智能门锁和盖特曼(gateman)智能门锁均存在漏洞，并且这两个品牌门锁所涉及的漏洞是一样的。其实耶鲁智能门锁和盖特曼智能门锁虽然品牌不一样，但殊途同归，它们的母公司都是iRevo。耶鲁智能门锁是主要面向欧美发售的品牌，盖特曼智能门锁则是主要面向韩国发售的品牌。

　　研究人员通过APK逆向分析及BLE通信抓包，能够绕过门锁对手机的身份认证，进而可以在其他手机上进行非授权开锁。

　　详文阅读：

　　https://www.4hou.com/vulnerable/18241.html

　　西门子LOGO!，一个用于小型自动化项目的PLC，存在漏洞攻击风险

　　LOGO!是西门子制造的可编程逻辑控制器(PLC)，它存在三个漏洞，可能允许远程攻击者重新配置设备，访问项目文件，解密文件和访问密码。

　　关于LOGO!

　　LOGO!是一种智能逻辑模块，适用于工业中的小型自动化项目(压缩机，输送带，门控等)，办公室/商业和家庭设置(照明控制，游泳池相关控制任务，访问控制等)。

　　它在全球范围内部署，可以远程控制。

　　关于漏洞

　　来自德国测试公司SySS GmbH的Manuel Stotz和Matthias Deeg发现并报告的漏洞有三个：

　　•CVE-2019-10919 – 缺少关键功能的认证(获取包含敏感数据的配置文件信息，例如不同的配置密码，设置密码)，这可能允许攻击者执行设备重新配置并获取项目文件。

　　•CVE-2019-10920 – 使用硬编码的加密密钥(例如，上述配置的密码用它加密)。

　　•CVE-2019-10921 – 以可恢复(明文)格式存储密码(存储在项目中)。

　　所有版本的Siemens LOGO!8 BM(基本模块)都会受到影响。

　　详文阅读：

　　https://www.helpnetsecurity.com/2019/05/31/siemens-logo-vulnerabilities/

　　Linksys 智能 WiFi 路由器被指泄露联网设备信息

　　目前超过2.5万台 Linksys 智能 WiFi 路由器受一个信息泄露漏洞影响，可导致大量敏感设备信息遭远程且未经认证的访问权限访问。

　　该问题和2014年发现的 Linksys 智能 WiFi 固件安全问题 CVE-2014-8244 非常相似，后者可导致“远程攻击者经由 JNAP/HTTP 请求中的 JNAP 动作获取敏感信息或修改数据。”

　　然而，Bad Packets 公司的安全研究员 Troy Mursch 发现，尽管该缺陷本应该在5年前修复，但仍然存在。更糟糕的是，Mursch 表示，Linksys 安全团队将该漏洞报告标记为“不适用/将不会修复”就完结。

　　研究人员发现，易受攻击的25,617 台Linksys 智能 WiFi 路由器使用了 BinaryEdge，暴露的敏感设备信息包括：

　　l 曾连接到路由器的所有设备的 MAC 地址(完整的历史记录，而并非只是活跃设备)

　　l 设备名称(如 “TROY-PC” 或 “Mat’s MacBook Pro”)

　　l 操作系统(如 “Windows 7” 或“安卓”)

　　l WAN 设置、防火墙状态、固件更新设置和 DDNS 设置

　　l 其它元数据也被记录，如设备类型、型号和说明

　　可通过在 web 浏览器中打开或点击左侧 JNAP 请求的方式打开易受攻击的 Linksys 智能 WiFi 路由器的登录接口，访问被暴露的敏感信息。

　　详文阅读：

　　http://codesafe.cn/index.php?r=news/detail&id=4855

　　美国汉堡连锁品牌 Checkers 遭黑客攻击 102 家门店 POS 机被感染

　　美国快餐连锁品牌 Checkers & Rally’s 遭遇恶意程序攻击，15% 的美国门店 POS 机被感染，导致严重的数据泄露。Checkers 是美国境内最大的免下车汉堡连锁餐馆之一，总部位于佛罗里达州坦帕市，目前已经在美国 28 个州开拓业务。

　　黑客攻击了Checkers的支付系统，并且在100多家线下门店的POS系统中植入了恶意软件。这些恶意软件会收集支付卡磁条上的数据，包括持卡人姓名、支付卡号、卡验证码以及到期日期等等。

　　Checkers在本周三的安全公告中表示：“近期我们发现部分Checkers & Rally’s线下门店出现了恶意程序导致数据泄露问题。在发现这个问题之后，我们快速聘请了业内的数据安全专家进行广泛调查，并配合联邦执法机构协同受影响餐馆解决这个问题。”

　　目前Checkers没有回应外媒Threatpost的评论请求。 Checkers表示，根据调查结果，没有证据表明持卡人信息以外的数据受到此问题的影响。

　　目前美国20个州的102家Checkers门店被发现存在恶意程序，其中最早一笔支付发生在2015年12月。Checkers在其官方网站上罗列了本次受影响的所有门店信息。

　　详文阅读：

　　http://hackernews.cc/archives/25802

　　时隔两周，仍有百万级联网设备未打上微软 BlueKeep 漏洞补丁

　　外媒 Threat Post 报道称，有研究人员发现，互联网上有百万级设备易受微软 BlueKeep 漏洞的影响，或为 WannaCry 之类的攻击敞开大门。据悉，该漏洞编号为 CVE-2019-0708，但微软已在本月早些时候的星期二补丁(Security Bulletin)中修复。遗憾的是，尽管系统管理员被要求尽快修复，但还是有大量设备暴露在公共互联网上。

　　研究员 Robert Graham 周二警告称，经过分析，目前公网上仍有 100 万台左右的设备易受这个严重漏洞的影响。

　　受威胁的设备，很容易成为 WannaCry 之类的网络攻击的受害者。更糟糕的是，上周末的检测表明，专门针对这类系统的恶意扫描数量出现了激增。

　　据悉，微软 Windows 操作系统中的远程桌面服务，存在着重大的远程代码执行缺陷。其影响包括 Windows 7 / XP、Server 2003 / 2008 等在内的诸多版本。

　　因担心黑客已经熟练掌握勒索技能，BlueKeep 漏洞或引发又一轮严重的攻击。微软这次还是破例为 Windows XP / Server 2003 提供了星期二补丁。

　　详文阅读：

　　http://hackernews.cc/archives/25790

　　关于青莲云

　　北京方研矩行科技有限公司(简称：青莲云)成立于2016年，核心团队来自于奇虎360，具有10年以上企业级安全产品和大规模云计算平台研发及服务经验。青莲云依托多年来在网络安全领域的攻防实战经验以及完整的智能硬件产品研发经验，将“安全”与“业务”无缝融合，为企业提供端到端的物联网安全整体解决方案。