最早在2019年发现了一个名为CVE-2020-15858的Java漏洞，并且自2月以来已提供了修复程序。现在，IBM的安全团队X-ForceRed敦促制造商更新易受攻击的EHS8模块。物联网安全性有多重要？随着物联网设备数量的快速增长以及与日常生活的日益融合，物联网设备的安全性比以往任何时候都变得更加重要。多亏了双核和四核SOC，用于发送良性信息的设备现在可以流式传输视频并处理人工智能算法，同时具有足够的处理空间来在后台运行应用程序。因此，现代物联网设备可用于各种恶意应用程序，包括DDoS攻击，加密挖掘，监视，网络侧链攻击和个人信息盗窃。物联网设备过去曾遭受过多次攻击。设计人员和用户很容易忽略物联网设备的安全性。一个典型的例子是赌场网络被黑，玩家数据被盗。这种攻击表明了安全性的重要性。发现缺陷后，制造商和所有者都必须更新其产品，以防止此类攻击。当然，其他安全措施（例如不使用通用密码，默认密码或将敏感数据存储在不受保护的内存区域中）也极大地有助于增强系统。什么是EHS8模块？ EHS8模块是用于需要蜂窝连接的全球IoT应用程序的集成JavaME3.2客户端运行时模块。 EHS8还集成了GPS，干扰检测，高级温度管理，嵌入式TCP / IP堆栈和USB控制器，从而允许创建各种不同的设计，包括工业，商业和住宅环境中的设计。 2G和3G连接的使用允许下行链路连接速度高达7.2Mbps，上行链路速度高达5.7Mbps。尽管按照现代标准，这些值可能较低，但是IoT设备被设计为一次发送数百个字节。这种速度可确保以最小的延迟快速发送和接收数据包。该模块的小尺寸为25.4毫米x 27.6毫米，是物联网设备的理想选择。 Java运行时可用于快速开发应用程序，易于维护，并且代码可重用性很高。什么是CVE-2020-15858漏洞？早在2019年9月，名为X-ForceRed的IBM精英黑客团队就在EHS8M2M模块中发现了一个漏洞，目前该漏洞已被数百万台设备使用。该漏洞称为CVE-2020-15858，它影响EHS8模块安全存储敏感信息的能力，并且可以在不允许未经授权的用户查看的内存区域中查看代码和数据。此漏洞的问题在于，它使攻击者可以破坏设备，通过对核心代码进行反向工程来获取知识产权，并获取密码和加密密钥。该漏洞的根本原因与该模块如何与AT命令一起使用（例如ESP32和ESP8266模块）有关。这些命令不使用Java，并且本质上是“低级”的。由于这些命令可以通过UART发送，因此可以访问UART的Java应用程序可以绕过其下面的任何运行时。如果应用程序可以访问AT命令结构，则它可以使用所有命令，包括ATI（获取制造商详细信息）或ATD（拨号号码）。由于EHS8（以及同一生产线中的其他产品也受到影响）被广泛用于包括医疗和能源在内的各种应用中，因此攻击者可能会影响这些设备的读数，从而可能隐藏问题事件或生成错误警报。如果在智能电表上使用相同的设备，则可能会减少用户的账单，或更糟糕的是，会荒唐地增加账单。