从失控的红绿灯到虚假灾难警报——智慧城市漏洞频发

 

近日，研究人员发现著名的交通安全设备制造商SWARCO出产的交通信号灯控制器存在一个严重漏洞，可能已被黑客利用，将破坏整个城市的红绿灯信号。

 

被操纵的交通信号灯

SWARCO是一家总部位于奥地利的公司，专门研究交通管理，交通安全，道路标记，以及其他常见的智慧城市解决方案。其产品已在全球70多个国家/地区部署。

总部位于德国的ProtectEM公司为工业和嵌入式系统提供网络安全指导和解决方案，该公司研究人员发现SWARCO的CPU LS4000交通灯控制器由于开放的调试端口而容易受到攻击。

该漏洞编号为CVE-2020-12493，CVSS评分为10，已于2019年7月报告给供应商，SWARCO于4月向客户提供了一个修补程序。美国网络安全和基础设施安全局（CISA）和德国的VDE CERT最近发布了有关此漏洞的公告。

ProtectEM的常务董事Peter Fröhlich表示，该漏洞是在对德国某城市进行的安全审计中发现的，该城市聘请他们公司来分析网络流量系统。

受影响的SWARCO控制器运行BlackBerry的QNX实时操作系统，用于控制一个十字路口的红绿灯。该系统有一个开放的调试端口，允许用户在没有密码的情况下进行根访问，从而使攻击者可以远程关闭或操纵受影响的控制器。

Fröhlich表示，尚未有证据表明这类系统已暴露在公共互联网中——至少在他们分析的城市中没有发现。更可能的攻击手段是获得对目标网络的物理访问，正如他所述，目标网络“就其本质而言，分布在整个城市”。

“在未修补的系统中，攻击者无需任何凭证即可通过底层操作系统的一个众所周知的功能获得对任何红绿灯控制器的无限根访问权限。该访问用于调试，因此它不是可以利用的bug或软件缺陷。然而，系统部署在一个不适当的配置中，该配置不适用于没有此访问端口安全性的生产系统。按照使用文档，对于生产系统，这个调试选项需要关闭。

ProtectEM公司已向其客户和SWARCO演示了利用此漏洞如何“同时停用所有红绿灯”，需要对每个受影响的控制器进行物理访问才能实施。Fröhlich指出，这种情况将涉及“有犯罪意图的恶意攻击（例如勒索攻击）”。

该公司还展示了攻击者如何通过控制器操纵所有交通灯，如将其全部变为红灯（这将使所有交通停止并导致交通堵塞）、全部变为黄灯、全部变为绿灯——这在现实中可能会产生最严重的影响，因为这会加剧交通事故的风险。

 

智慧城市系统频现漏洞

从2008年IBM提出“智慧地球”概念至今，短短12年，智慧城市已经遍地开花。近几年，研究人员多次检验智慧城市系统的安全性，事实证明，它们漏洞频出。

2018年，美国夏威夷发生意外的虚假导弹警报之后，IBM X-Force Red团队与安全业者Threatcare联手，检视智慧城市所使用的Libelium、Echelon与Battelle系统，发现这些被应用在智能交通系统、灾难管理、工业物联网的装置潜藏漏洞，让黑客有机会窜改数据、触发警报制造恐慌及混乱。

他们在四种类型的智慧城市产品中发现了17个先前未知的漏洞，包括8个被描述为“严重”的安全漏洞和6个“高危”漏洞。

研究人员测试了Echelon的i.LON 100和600路由器，发现产品允许组织监控和控制LonWorks设备，如泵，阀门，电机，传感器和灯。他们还分析了供应商的智能服务产品，产品描述为“通用控制器，路由器和智能能源管理器，将控制设备连接到基于IP的应用，如楼宇自动化，企业能源管理，需求响应计划和高价值远程资产管理程式”。

共有5个漏洞被发现，包括2个身份验证绕过漏洞、以及默认凭据、明文密码和缺少加密通信相关漏洞。

Libelium是一家专注于无线传感器网络硬件的公司，研究人员分析了其产品Meshlium，这是一个物联网网关，专门用于将传感器连接到云平台。

研究发现了4个不同的预身份验证shell注入缺陷实例，它们都被归类为“严重”漏洞。

针对全球研发组织Battelle的产品，IBM和Threatcare则分析了其V2I（车辆到基础设施）Hub的两个版本，该产品用于将数据从交通信号控制器传送到联网车辆。

发现的漏洞包括SQL注入，硬编码密码，不受保护的敏感功能，跨站点脚本（XSS）漏洞以及各种与API相关的问题。这些漏洞大多数被认定为“严重”或“高危”漏洞。

这些基本的安全漏洞为黑客提供了可乘之机。

专家描述了几种理论攻击场景：攻击者利用漏洞操纵水位传感器的水位显示数据，来谎报洪水或使洪水期的水位显示为正常；黑客也可能通过操纵辐射传感器的数据触发辐射泄漏警告；犯罪分子可以通过劫持交通系统控制交通信号，同时引发建筑物紧急警报，触发枪击传感器。这些行为都可能造成意想不到的后果和规模巨大的民众恐慌。

尽管以上漏洞在公布前均已完成修复，但令人担忧的是，安数君使用网络安全监测系统进行在线搜索发现，仍有不少易受攻击的系统可直接从互联网上访问，需要相关人员提高重视，保持警惕。

据IDC预测，智慧城市的技术支出将在2022年达到1580亿美元，随着智慧城市的普及，解决安全问题的迫切性不言而喻。

针对智慧城市的安全问题，亡羊补牢只是解决方案的一部分，最重要的还是防患于未然，这需要网络安全监管部门加大在IT基础设施安全防护上的投资，建立关键信息基础设施网络安全监测预警体系和信息通报制度，以可信的信息技术产品和安全服务为基石，以威胁预警和风险评估为支撑，让智慧城市得到安全发展。

本文由安数网络编译整理，转载请注明出处。