安全设备是充斥着严重的安全漏洞

部分的电子邮件和Web网关，防火墙，远程访问服务器，统一的威胁管理（UTM）系统和其他安全设备有严重的安全漏洞，据一名安全研究人员分析来自多个供应商的产品。


大部分的安全设备是不安全的Web应用程序安装在Linux系统维护不善，根据本·威廉姆斯，渗透测试者在NCC集团，介绍了他的研究结果周四在Black Hat 2013年欧洲安全会议在阿姆斯特丹。他的演讲题目是“真令人啼笑皆非的安全产品的开发。”


威廉姆斯调查，从一些领先的安全厂商，包括赛门铁克，Sophos，趋势科技，思科，梭子鱼，McAfee和思杰的产品。有些人分析的一部分，渗透测试，为客户提供的产品评估的一部分，和其他在他的业余时间。


超过80％的测试的产品有严重的安全漏洞，相对容易被发现，至少有一名有经验的研究员，威廉姆斯说。许多这些漏洞是在基于Web的用户界面的产品，他说。


几乎所有的测试安全设备的接口没有保护，防止暴力破解密码破解和跨站点脚本缺陷，允许会话劫持。他们中的大多数也暴露的产品型号和版本未经身份验证的用户，这将使得它更容易为攻击者发现，被称为是脆弱的家电的信息。


另一种常见的漏洞在这样的接口是跨站点请求伪造。这些漏洞允许攻击者访问管理功能，通过欺骗认证管理员访问恶意网站。很多接口也有漏洞，允许命令注入攻击和权限提升。


威廉姆斯发现的缺陷，较少包括直接认证，带外跨站点脚本，绕过站点请求伪造，拒绝服务攻击和SSH配置错误。有很多等较模糊的问题，他说。


威廉姆斯在他的演讲中，提出了几个例子从Sophos，Symantec和Trend Micro，可用于家电的产品获得完全的控制权，他去年发现的缺陷。他的供应商和用户的调查结果和建议的更详细的NCC集团的网站上发表的白皮书。


通常在贸易展览会上，厂商宣称自己的产品上运行的“硬化”的Linux，根据威廉姆斯。“我不同意，”他说。


大多数测试设备实际上是过时的内核版本，老的和不必要的软件包安装，和其他贫困配置Linux系统维护不善，威廉姆斯说。他们的文件系统不“强硬”要么，因为没有完整性检查，没有SELinux或AppArmour内核安全功能，它是罕见的，找到不可写的或不可执行的文件系统。