WiFi芯片出現固件安全漏洞：全平臺設備都危險

根據最新消息顯示，現在大家正在使用的筆記本電腦，智能手機，游戲設備，路由器和物聯網（IoT）設備中的一款普遍使用的WiFi芯片組存在固件上的漏洞。

該漏洞由Embedi研究員Denis Selianin發現，它影響了ThreadX，這是一種實時操作系統（RTOS），正用在數十億設備的固件上。

在今天發布的一份報告中，Selianin描述了黑客如何利用Marvell Avastar 88W8897無線芯片組上安裝的ThreadX固件來執行惡意代碼而無需任何用戶交互的操作。

研究人員選擇的這款WiFi芯片組，因為這是市場上最受歡迎的WiFi芯片組之一，部署的設備包括索尼PlayStation 4，Xbox One，微軟Surface筆記本電腦，三星Chromebook等設備。

研究人員說，掃描新WiFi網絡的固件功能每五分鐘自動啟動一次。攻擊者所要做的就是向任何使用Marvell Avastar WiFi芯片組的設備發送格式錯誤的WiFi數據包，并等到該功能啟動，執行惡意代碼并接管設備。

“這就是為什么這個bug太嚴重了，它提供了在任何無線連接狀態下即使設備沒有連接到任何網絡時也可以通過交互來控制設備的機會，”Selianin說。

此外研究人員還表示，目前已經確定了確定了兩種利用這種技術對設備進行攻擊的方法，一種是特定于Marvell自己的ThreadX固件實現的方法，另一種是通用的，可以應用于任何基于ThreadX的固件，可能會影響多達62億臺設備。