魔鬼藤又称CVE20179765是一个堆缓冲区溢出漏洞，由一家位于美国、专注于物联网IoT安全的公司Senrio所发现，该公司总部位于俄勒冈州的波特兰。他们于2017年7月18日在其网站上首次发布了有关此问题的消息。

讽刺的是，在分析一家跨国安全公司Axis Communications制造的安全摄像头型号为M3004时发现了这个缺陷。Senrio很快确认，魔鬼藤在249个Axis摄像机型号中存在于252个型号中。

这个漏洞存在于一种叫做gSOAP简单对象访问协议的代码中，这是一个由Genivia制作的开源第三方代码库，广泛应用于多种物理安全产品中，例如前述的摄像头。

至于Senrio为什么将该可被攻击的代码命名为魔鬼藤，他们在网站上发布了以下声明：

“我们将这个漏洞命名为魔鬼藤，因为就像这种植物一样，它几乎无法根除，并且通过代码重用迅速传播。它源自一个被下载过百万次的第三方工具包，这意味着它已经扩散到成千上万的设备，并且将很难完全消除。”

当魔鬼藤被利用时，黑客能够访问摄像头的视频流，并阻止任何其他人包括所有者访问这一视频流。他们还可以利用这一弱点在目标摄像头上安装恶意软件，最糟糕的是，这一切都可以远程完成。

这为那些依赖安全摄像头作为主要安全工具的地方带来了严重的危险，银行等建筑尤其面临风险。网络罪犯可以黑入银行的安全摄像头流，并利用这一点使抢劫变得更容易。他们可以阻止他人访问视频流，操控视频以使其不显示犯罪行为，或者删除视频以消除证据。

gSOAP是一种用于多种物理安全产品例如Axis通信摄像头的代码。Genivia的首席执行官以及gSOAP的发明者Robert van Engelen表示，他的公司有34个客户在使用该代码库，但他拒绝透露这些公司的名称。

这意味着黑客可能能够同时控制成千上万的设备，而魔鬼藤有可能传播到数千万的产品软件、物联网设备和其他连接工具。

然而，Robert van Engelen对此评估表示不同看法。他表示，只有作为服务器的设备才容易受到攻击，而客户端因没有开放的互联网连接而不会受到影响。不过，Senrio则坚持自己的研究结果。根据这家物联网安全公司的说法，易受攻击的服务器也可能被用来将魔鬼藤传播到使用gSOAP作为客户端的计算机上。

为防止魔鬼藤蔓延所采取的措施

当Axis Communications意识到这个问题时，他们立即联系了Genivia。负责该代码库的公司随即发布了一个补丁更新以修复此问题，并建议所有用户升级其设备的固件。

Axis还通知了开放网络视频接口论坛ONVIF这个全球性的开放行业论坛是他们与其他安全设备制造商Bosch和Sony在2008年共同成立的。由于ONVIF的一些成员使用gSOAP，Axis希望确保这些成员了解魔鬼藤的威胁，以便他们立即解决该问题。

你想要保护家中或工作场所的物联网设备吗？如果是的话，一款优质的VPN工具，如热点护盾，可以帮助你。我们的VPN为你的隐私和在线安全提供了诸多好处。

今天就访问我们的网站，免费下载热点护盾。我们的VPN适用于Windows、Mac OS、Android和iOS。你也可以通过查阅我们的博客了解最新的科技新闻。