陈年老“洞”击穿底线，未知风险几时休

网络空间是有记忆的，它一笔一笔记录着所有的错误，永远不会消失，也就意味着威胁如同悬在头上的达摩克利斯之剑。最近，就有个值得好好说说的小事儿。

前不久，微软发布警告称，有黑客利用常见物联网（IoT）设备中已停用的网络服务器漏洞，对能源电网发起攻击。

这个如今已经停止维护的物联网产业链基础软件漏洞，让攻击者成功入侵了某国电网。入侵还不算结束，因为这个停用服务器中的漏洞，仍在被持续利用中。

陈年老洞，击穿一国电网

从微软发布的警告来看，这个物联网（IoT）设备早在2005年就已经停止服务支持，只是目前仍有大量路由和安全摄像头使用该组件及其软件开发工具包（SDK）。今年4月，安全公司Recorded Future就在印度电网入侵事件中发现该问题组件。

在微软对相关事件展开调查后，数据暴露了更多潜藏在暗处的安全隐患。

调查显示，全球有超过100万个暴露在互联网上的Boa服务器组件，而这种易受攻击的组件埋下了无穷尽的供应链风险，让数百万的组织和设备暴露在随时可能发生的风险之中。需要我们提高警惕的是，微软称已有证据表明，有黑客正在积极利用Boa服务器组件中的漏洞。

目前，明确被利用的漏洞分别是一个高严重度的信息披露漏洞（CVE-2021-33558）和另一个任意文件访问漏洞（CVE-2017-9833）。这里值得注意的事，任意文件访问漏洞距今已经有5年。微软还特别强调：“影响此类组件的已知 [漏洞] 可以让攻击者在发起攻击前收集网络资产的信息，并通过获得有效的凭证，在不被发现的情况下进入网络”。

安全远没有我们想象的容易，2005年既已停服的设备，2017年既已被披露过的漏洞，依然让安全威胁的阴霾不散。