近日，独立安全评估者（ISE，Independent Security Evaluators）的研究职员在最新报告《SOHOpelessly Broken 2.0》中，表露了13个品牌的小型办公室/家庭办公室（SOHO）路由器、网络附加存储设备（NAS）设备上的125处安全漏洞，可能会影响数百万个IoT设备。
这13个品牌分别是：布法罗、群晖、铁威马、合勤、Drobo、华硕、华芸科技、希捷、威联通、遐想、网件、小米、TOTOLINK。
研究利用的设备型号及固件版本详见下表：
报告指出，这些参与测试的设备都含有至少一个许可黑客进行远程shell访问，或管理界面访问的漏洞，包括跨站点脚本（XSS），跨站点要求假造（CSRF），缓冲区溢出，操作系统命令注入，身份验证绕过，SQL注入和文件上传路径遍历漏洞等。
研究职员称，他们成功地在12台设备上获取了根shell，从而能完备掌握受影响的设备。个中6个设备的漏洞，许可攻击者远程掌握设备而无需身份验证，这个6个设备分别是：华芸 AS-602T，布法罗 TeraStation TS5600D1206，铁威马 F2-420，Drobo 5N2，网件 Nighthawk R9000、TOTOLINK A3002RU。
研究创造的网络设备漏洞类型详见下表：
厂商回应
目前研究职员已经将部分创造的漏洞通报给设备制造商，大多数厂商都迅速做出了回应，并已采纳安全方法来修复这些漏洞，建议用户定期检讨更新固件版本以确保安全性。
其余，以下厂商供应了漏洞褒奖：群晖、小米、网件，个中，群晖和网件供应现金奖金，而小米供应了奖品。
独立安全评估者团队特殊记录了与各厂商的沟通情形，见下表：
附录：125个漏洞列表
布法罗 TeraStation TS5600D1206
CVE-2018-13323–通过“用户名”cookie跨站点脚本
CVE-2018-13322–通过路径遍历列出任意目录
CVE-2018-13319–未经认证的信息表露
CVE-2018-13324–jsonrpc api上的身份验证绕过
CVE-2018-13318–用户创建期间的命令注入（二阶）
CVE-2018-13320–NT域设置中的命令注入
CVE-2018-13321–通过JSONRPCAPI访问的内部函数
华硕 RT-AC3200
CVE-2018-14710–通过appget.cgi反响跨站点脚本
CVE-2018-14711–appget.cgi上短缺跨站点要求假造保护
CVE-2018-14714–通过appget.cgi中的load_script hook注入命令
CVE-2018-14713–通过appget.cgi中的nvram_match系列不受掌握的格式字符串
CVE-2018-14712–通过appget.cgi中的delete_sharedfolder（）实现堆栈缓冲区溢出
铁威马F2 -420
CVE-2018-13334–系统名称验证和消毒不敷
CVE-2018-13329–URL参数中的验证和清理不敷（反响的XSS）
CVE-2018-13337–会话固定
CVE-2018-13338–用户创建中的系统命令注入（用户名）
CVE-2018-13336–用户创建中的系统命令注入（密码）
CVE-2018-13332–任意文件上传位置
CVE-2018-13333–通过文件管理器权限中的用户名持续跨站点脚本
CVE-2018-13331–通过掌握面板中的用户名持续跨站点脚本
CVE-2018-13330–创建组时实行系统命令
CVE-2018-13335–通过掌握面板中的共享文件夹描述持续跨站点脚本
CVE-2018-13357–通过掌握面板中的共享文件夹名持续跨站点脚本
CVE-2018-13352–会话令牌作为文件存储在/tmp中
CVE-2018-13349–登录时通过用户名持续跨站点脚本
CVE-2018-13355–创建组时短缺授权检讨
CVE-2018-13351–通过编辑用户表单反响跨站点脚本
CVE-2018-13356–用户编辑授权缺失落
CVE-2018-13358–ajaxdata.php中的系统命令注入（checkname）
CVE-2018-13353–ajaxdata.php中的系统命令注入（checkport）
CVE-2018-13418–ajaxdata.php中的系统命令注入（用户重命名）
CVE-2018-13354–logtable.php中未履历证的系统命令注入
CVE-2018-13350–logtable.php中未履历证的SQL注入
CVE-2018-13361–未履历证的用户列举
CVE-2018-13359–未履历证的反响跨站点脚本
CVE-2018-13360–在文本编辑器中反响跨站点脚本
Drobo 5N2
CVE-2018-14699–启用用户的用户名参数中未履历证的命令注入
CVE-2018-14697–启用用户中反响的跨站点脚本
CVE-2018-14698–删除用户中的跨站点脚本
CVE-2018-14701–删除用户中用户名参数中未履历证的命令注入
CVE-2018-14703–未经授权访问MySQL数据库密码
CVE-2018-14700–未履历证访问MySQL日志文件
CVE-2018-14695–未经授权访问mysql diag.php
CVE-2018-14696–未履历证通过mysql api drobo.php访问设备信息
CVE-2018-14702–未经授权通过drobo pix api drobo.php访问设备信息
CVE-2018-14704–通过mysql api drobopapps.php反响跨站点脚本
CVE-2018-14705–管理网页缺少认证/授权
CVE-2018-14706–Drobopix中未履历证的命令注入
CVE-2018-14707–Drobo PIX中未履历证的任意文件上传
CVE-2018-14709–Drobo Dashboard和NASD之间的客户机-做事器通信认证不敷
CVE-2018-14708–Drobo Dashboard和NASD之间的客户机-做事器通信中短缺传输安全性
合勤NSA325 V2
CVE-2018-14892–短缺要求源验证功能（无CSRF保护）
CVE-2018-14893–通过API注入低权限根命令
TOTOLINK A3002RU
CVE-2018-13313–在password.htm中返回管理员密码
CVE-2018-13312–notice-gen.htm中的跨站点脚本
CVE-2018-13308–notice-gen.htm中的跨站点脚本
CVE-2018-13309–password.htm中的跨站点脚本
CVE-2018-13310–password.htm中的跨站点脚本
CVE-2018-13315–密码变动期间短缺当前密码的做事器端验证
CVE-2018-13311–通过Samba用户名进行命令注入
CVE-2018-13306–通过ftp用户名进行命令注入
CVE-2018-13307–通过NTP做事器IP地址注入命令
CVE-2018-13314–福尔马西普指令注入
CVE-2018-13316–福尔马西普指令注入
CVE-2018-13317–通过URL过滤器进行跨站点脚本编写
华芸 AS-602T
CVE-2018-12311–文件资源管理器文件名短缺输入清理
CVE-2018-12308–共享文件夹加密密钥作为URL参数发送
CVE-2018-12305–通过SVG图像跨站点脚本
CVE-2018-12306–通过download.cgi遍历目录
CVE-2018-12314–通过downloadwallpaper.cgi遍历目录
CVE-2018-12309–通过upload.cgi遍历目录
CVE-2018-12316–通过文件名进行命令注入
CVE-2018-12313–未履历证的SNMP配置访问
CVE-2018-12307–通过用户添加命令注入
CVE-2018-12312–通过天生两步验证命令注入
CVE-2018-12310–登录页面上的跨站点脚本
CVE-2018-12319–登录谢绝做事
CVE-2018-12315–密码变动不须要现有密码
CVE-2018-12318–snmp.cgi以明文形式返回密码
CVE-2018-12317–group.cgi中的命令注入
希捷 STCR3000101
CVE-2018-12298–文件浏览器运用程序中短缺路径规范化
CVE-2018-12295–未能清理SQL语句中的用户输入
CVE-2018-12299–对用户供应的文件名的验证和清理不敷
CVE-2018-12303–对用户供应的目录名的验证和清理不敷
CVE-2018-12297–API端点验证和卫生处理不敷
CVE-2018-12300–任意重定向
CVE-2018-12302–短缺cookie强化标志
CVE-2018-12296–做事器信息表露
CVE-2018-12304–App Manager中短缺输出清理
CVE-2018-12301–下载管理器许可利用本地主机和127.0.0.1
威联通 TS-870
CVE-2018-19941–在登录重定向期间存储为cookies的用户名和密码
CVE-2018-19942–文件管理器中不屈安的“打开”功能
CVE-2018-19943–短缺对文件名的输入清理
CVE-2018-19944–以明文形式返回SNMP密码
CVE-2018-19945–任意路径文件上传
CVE-2018-19946–发出curl要求时短缺证书验证
CVE-2018-19947–详细缺点（文件上传php文件路径泄露）
CVE-2018-19948–CSRF文件上传（帮助台）
CVE-2018-19949–创建帐户后精确身份验证时在用户名中插入命令
CVE-2018-19950–上传内容至私人收藏时，在文件上传功能中的音乐站用户名中注入命令
CVE-2018-19951–在音乐站以文件名存储XSS
CVE-2018-19952–用于共享播放列表链接日志查看的MediaToolAPI中的SQLI
CVE-2018-19953–文件站共享链接创建者短缺输出清理
CVE-2018-19954–PhotoStation文件名中的持续跨站点脚本
CVE-2018-19955–photostation文件名中反响的跨站点脚本
CVE-2018-19956–通过URL参数反响photostation中的跨站点脚本
CVE-2018-19957–短缺强化标题
小米路由器3
CVE-2018-16130–要求MITV功能中的外壳输入验证不敷
CVE-2018-13023–WiFi接入功能中外壳输入验证不敷
CVE-2018-13022–通过API 404反射嗅探跨站点脚本
遐想 ix4-300d
CVE-2018-9074–上传文件时的任意文件路径选择
CVE-2018-9075–客户端系统命令注入：PersonalCloudJoin中的密码参数
CVE-2018-9076–sharemodify中name参数中的系统命令注入
CVE-2018-9077–共享中的系统命令注入：sharemodify中的name参数
CVE-2018-9078–托管SVG图像时验证和清理不敷
CVE-2018-9079–CAT URL参数中的验证和消毒不敷
CVE-2018-9080–通过Iomega Cookie进行会话固定
CVE-2018-9081–文件参数中的验证和清理不敷
CVE-2018-9082–密码变动不须要现有密码
群晖 DS218j
CVE-2018-13282–Photo Station运用程序中的会话固定
CVE-2018-13281–确定任意文件的存在和元数据
网件 Nighthawk R9000
CVE-2019-12510–通过x-forwarded-for标头绕过身份验证
CVE-2019-12511–通过SOAPAPI注入系统命令
CVE-2019-12512–通过x-forwarded-for标头跨站点脚本
CVE-2019-12513–通过恶意DHCP要求在日志中编写跨站点脚本
本文来源：微信公众号：安数网络
及时节制网络安全态势 尽在傻蛋联网设备搜索系统
