
電子訊號示波器,是實驗室常見儀器,研製設備時不可或缺,經資安業者SEC-Consult分析對岸業者SIGLENT出廠SDS 1202X-E型數位示波器,發覺使用過時軟體部件,如BusyBox 1.20.1 (2012)、GNU glibc 2.13 (2011)、Linux kernel 3.19.0 (2015)等,顯見未落實更新服務,此外尚有其他破綻,如兩組後門帳號root、siglent儲存在唯獨cramfs檔案系統中shadow檔案,令一般使用者難以更換密碼,反而攻擊者能輕易地從port 23採telnet登入,管理SDS 1202X-E示波器;而透過EasyScopeX波形分析工具,無須身分驗證,能逕調示波器參數設定,且EasyScopeX所產生流量均為明文封包,在port 5024、5025可竊聽其內容,因鼎陽科技對上述瑕疵無回應,亦無修補,建議持有該設備之學校、企業,儘量於可靠封閉網路環境操作,關閉port 23,並採取硬體電路介面UART(通用非同步收發傳輸器:Universal Asynchronous Receiver/Transmitter),維護作業安全性。
影響產品:韌體 5.1.3.13
解決辦法:暫無。
資料來源:
- https://www.sec-consult.com/en/blog/advisories/multiple-vulnerabilities-in-siglent-technologies-sds-1202x-e-digital-oscilloscope/
- https://www.bleepingcomputer.com/news/security/digital-oscilloscope-comes-with-backdoor-accounts-old-software-components/
- https://zh.wikipedia.org/wiki/Cramfs
- https://blog.gtwang.org/linux/linux-etc-shadow-file-format/
- https://zh.wikipedia.org/wiki/UART
- http://www.siglent.com/ens/
- http://www.siglent.com/about.aspx?id=549