CyRC Mengidentifikasi Tiga Kelemahan DoS Utama di Pialang Pesan Sumber Terbuka Populer

  • Whatsapp
CyRC Mengidentifikasi Tiga Kelemahan DoS Utama di Pialang Pesan Sumber Terbuka Populer

 

Bacaan Lainnya

Synopsys Cybersecurity Research Center (CyRC) telah memperingatkan organisasi tentang kerentanan penolakan layanan (DoS) yang mudah dipicu di tiga broker pesan sumber terbuka yang banyak digunakan: RabbitMQ, EMQ X, dan VerneMQ.

Pialang pesan adalah perangkat lunak yang memungkinkan aplikasi, sistem, dan layanan untuk berkomunikasi satu sama lain dan bertukar informasi dengan menerjemahkan pesan antara protokol pesan formal. Ini bertanggung jawab untuk mengelola perangkat IoT seperti hub rumah pintar dan kunci pintu melalui protokol umum: Message Queuing Telemetry Transport (MQTT).

MQTT, pertama kali dirilis pada tahun 1999 bertanggung jawab untuk mengelola jaringan pipa minyak dan berbagai tugas otomatisasi rumah dan industri. Setiap gangguan dalam pesan MQTT berpotensi membuat pengguna terkunci di luar rumah dan kantor mereka.

“Perantara pesan dapat menjadi pusat saraf dari sistem yang kompleks. Jika perantara pesan tidak berfungsi, maka berbagai komponen sistem tidak dapat berkomunikasi. Layanan apa pun yang disediakan oleh sistem itu tidak tersedia sampai perantara pesan dipulihkan,” Jonathan Knudsen, peneliti yang mengidentifikasi kerentanan, mengatakan kepada SecurityWeek.

Jonathan Knudsen mengidentifikasi bahwa pesan MQTT yang dibuat secara khusus dapat menyebabkan konsumsi memori yang berlebihan di RabbitMQ (dimiliki oleh VMware), EMQ X, dan VerneMQ, yang menyebabkan sistem operasi menghentikan aplikasi.

“Kerentanan ini dapat dieksploitasi oleh sistem apa pun yang memiliki akses ke perantara pesan. Broker dapat dikonfigurasi untuk meminta otentikasi atau menolak koneksi dari titik akhir yang tidak dikenal yang akan membatasi serangan eksternal. Tetapi untuk penyerang dengan akses ke salah satu perantara pesan yang rentan, kerentanan dapat dieksploitasi hanya dengan mengirimkan paket jaringan yang terbentuk dengan buruk, yang dapat dilakukan dengan skrip yang sangat sederhana,” jelas Knudsen.

Menurut EMQ, broker pesannya telah diinstal lebih dari 2 juta kali dan memiliki lebih dari 5.000 pengguna di seluruh dunia. RabbitMQ mengklaim memiliki puluhan ribu pengguna, termasuk perusahaan rintisan kecil dan perusahaan besar. VerneMQ digunakan oleh perusahaan seperti Microsoft, Volkswagen, Siemens, dan Swisscom.

Knudsen dan CyRC secara pribadi mengungkapkan kekurangan tersebut kepada pengelola proyek pada bulan Maret, dan ketiganya kini telah ditambal. Pengguna RabbitMQ disarankan untuk meningkatkan ke versi 3.8.16 atau lebih tinggi; Pengguna EMQ X ke versi 4.2.8 atau lebih tinggi, dan pengguna VerneMQ ke versi 1.12.0 atau lebih tinggi.

Pos terkait

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan. Ruas yang wajib ditandai *