Microsoft发现IoT和OT设备中的代码执行漏洞。这25个漏洞统称为BadAlloc，由内存分配整数溢出或包装错误引起。攻击者可以利用它们触发系统崩溃并在IoT和OT系统上远程执行恶意代码。Microsoft的研究人员发现了广泛用于多个实时操作系统(RTOS)、C标准库(libc)实现和嵌入式软件开发工具包(SDK)的标准内存分配函数中的漏洞。其安全响应中心团队表示，多年来作为物联网设备和嵌入式软件的一部分编写的内存分配实现没有适当的输入验证，因此攻击者可以利用内存分配功能触发堆溢出，从而导致堆溢出目标设备。执行恶意代码。在发现这些漏洞后，Microsoft的安全研究人员将它们报告给了CISA和受影响的供应商。据悉，这些易受BadAlloc攻击的物联网和OT设备目前主要存在于消费、医疗和工业网络中，包括AmazonFreeRTOS、ApacheNuttxOS、GoogleCloudIoTDeviceSDK等，完整列表可参见CISA公告发现。同时，CISA和Microsoft建议使用易受BadAlloc攻击的设备的组织采取以下步骤来降低风险：应用现有的供应商更新最大限度地减少所有控制系统设备及其系统的网络暴露，并确保无法从Internet访问它们放置控件防火墙后的系统网络和远程设备，并将它们与业务网络隔离在需要远程访问时使用安全方法实施网络安全监控以检测潜在的有害行为指标加强网络分段以保护关键资源此外，CISA还提供了控制系统的推荐做法安全和有关有针对性的网络入侵检测和缓解策略的技术信息文档。虽然微软目前尚未检测到对BadAlloc的积极利用，但CISA要求组织报告针对他们的任何恶意活动，以便对其进行跟踪。本文转自OSCHINA文章标题：微软发现物联网和OT设备中的代码执行漏洞
