鑽石舞台

NetModule 在今年年初被 Belden 公司收購，提供IIoT 和工業路由器、車輛路由器和其它無線M2M連接產品。NetModule 公司的所有路由器默認運行基於 Linux 的 NRSW，且可通過遠程管理平台進行遠程管理。

Flashpoint 公司指出，研究員最近發現了 NetModule 路由器軟件中的兩個嚴重缺陷，可被遠程攻擊者用於繞過認證並訪問管理員功能。

Flashpoint 公司表示，雖然這些漏洞位於 NetModule 在2018年從 NRSW 中刪除的代碼中，但數百台設備仍然在運行更老版本的平台且可從互聯網訪問。雖然 Flashpoint 公司並未共享所發現漏洞的技術詳情，但提醒稱持續使用易受攻擊的設備可導致組織機構易遭潛在利用。

Flashpoint公司還表示已將漏洞告知 NetModule 公司，並鼓勵NetModule公司告知客戶，儘管這些漏洞並不影響新的設備機型，「在發布之時，使用易受攻擊 NRSW 版本的 NetModule 客戶並不清楚設備受這些嚴重漏洞的影響。」

Flashpoint公司指出，NetModule 公司「從未就此發布安全公告或在發布變更日誌中包括這些信息」，意味着使用易受攻擊軟件的客戶並不清楚自己所面臨的風險。

Flashpoint 公司指出，「NetModule 公司指出沒有發布安全公告的計劃，並稱是根據僅解決受支持發布的內部策略決定的。另外，該廠商表示已經發布停止支持通告並持續要求客戶將設備更新至最新狀態。」

使用達到生命周期產品是一種不良安全實踐，尤其是考慮到老舊漏洞被APT組織和網絡犯罪分子大規模使用的情況，但廠商應當將產品中的潛在漏洞告知用戶。

NetModule 和 Belden 公司均尚未就此置評。

題圖：Pixabay License‍

本文由奇安信編譯，不代表奇安信觀點。轉載請註明「轉自奇安信代碼衛士 https://codesafe.qianxin.com」。

奇安信代碼衛士 (codesafe)

國內首個專注於軟件開發安全的產品線。

覺得不錯，就點個「在看」 或 "贊」 吧~