据悉，OvrC物联网平台的主要功能是通过移动应用程序或基于Web的界面为用户提供远程配置管理和运行状态监控等服务。这家于 2014 年收购该平台的自动化公司声称，2020 年 OvrC 拥有约 920 万台设备，如今该平台预计将拥有 1000 万台设备。
▲OvrC物联网平台下的设备
IT之家查阅安全报告了解到，相关漏洞主要包括输入验证不足、访问控制不当、敏感信息明文传输、数据完整性验证不足、开放重定向、硬编码密码、绕过身份验证等。大多数漏洞源于设备和云之间接口的安全设计缺陷。黑客可以利用这些漏洞绕过防火墙并避开网络地址转换（NAT）等安全机制，从而在平台设备上运行恶意代码。
参考CVSS风险评分，被评为高风险的四个漏洞分别是：输入验证不足漏洞CVE-2023-28649、访问控制不当漏洞CVE-2023-31241、数据完整性验证不足漏洞CVE-2023-28386以及关键功能漏洞缺乏身份验证漏洞 CVE-2024-50381，这些漏洞的评分在 9.1 到9.2.
对于该漏洞的具体利用方法，研究人员指出，黑客可以先利用CVE-2023-28412漏洞获取所有被管理设备的列表，然后利用CVE-2023-28649和CVE-2024-50381漏洞强制设备进入“ ”()状态。黑客随后可以利用CVE-2023-31241漏洞来匹配MAC通过设备ID寻址，并通过设备ID重新声明设备所有权，最终实现远程代码执行。
值得注意的是，大部分问题在研究人员报告后已于去年 5 月得到修复，但仍有两个漏洞直到本月才得到解决。目前平台已全面修复相应漏洞。
