Ripple20, řada chyb zabezpečení v zásobníku TCP / IP společnosti Treck ovlivňující různá zařízení

Nedávno to zprávy prolomily v patentovaném zásobníku TCP / IP společnosti Treck bylo nalezeno přibližně 19 chyb zabezpečení, které lze zneužít zasláním speciálně navržených balíčků.

Nalezené chyby zabezpečení, byly přiřazeny krycímu jménu Ripple20 a některé z těchto zranitelností se také objevují v zásobníku TCP / IP KASAGO společnosti Zuken Elmic (Elmic Systems), který sdílí společné kořeny s Treckem.

Znepokojující na této sérii zranitelných míst je to zásobník TCP / IP Treck používá mnoho zařízení průmyslové, lékařské, komunikační, vestavěné a spotřební, od inteligentních lamp po tiskárny a zdroje nepřerušitelného napájení), jakož i v energetických, dopravních, leteckých, obchodních a ropných produkčních zařízeních.

O zranitelnostech

Pozoruhodné cíle pro útoky využívající zásobník Treck TCP / IP zahrnují síťové tiskárny HP a čipy Intel.

Zahrnutí problémů na zásobníku TCP / IP Treck Ukázalo se, že to byl důvod vzdálených zranitelností Nedávno v podsystémech Intel AMT a ISM využívány zasíláním síťového paketu.

Společnosti Intel, HP, Hewlett Packard Enterprise, Baxter, Caterpillar, Digi, Rockwell Automation a Schneider Electric potvrdily chyby zabezpečení. Kromě 66 dalších výrobců, jejichž produkty využívají zásobník Treck TCP / IP, dosud na problémy nereagovalo, 5 výrobců, včetně AMD, oznámilo, že se na jejich produkty problémy nevztahovaly.

Problémy byly zjištěny při implementaci protokolů IPv4, IPv6, UDP, DNS, DHCP, TCP, ICMPv4 a ARP, a byly způsobeny nesprávným zpracováním parametrů s velikostí dat (použití pole s velikostí bez kontroly skutečné velikosti dat), chyby při kontrole vstupních informací, zdvojnásobení volné paměti, čtení z oblasti mimo vyrovnávací paměť , přetečení celého čísla, nesprávné řízení přístupu a problémy se zpracováním řetězců s nulovým oddělovačem.

Dopad těchto chyb zabezpečení se bude lišit v důsledku kombinace možností kompilace a běhového prostředí použitých při vývoji různých vestavěných systémů. Tato různorodost implementací a nedostatečná viditelnost v dodavatelském řetězci zhoršila problém přesného posouzení dopadu těchto zranitelných míst. 

Stručně řečeno, neověřený vzdálený útočník může pomocí speciálně vytvořených síťových paketů způsobit odmítnutí služby, odhalení informací nebo spuštění libovolného kódu.

Dva nejnebezpečnější problémy (CVE-2020-11896, CVE-2020-11897), kterým je přiřazena úroveň 10 CVSS, umožňují útočníkovi vykonat svůj kód v zařízení zasláním určitým způsobem pakety IPv4 / UDP nebo IPv6.

První kritický problém se objevuje na zařízeních s podporou tunelů IPv4 a druhý na verzích s povoleným IPv6 vydaných před 4. červnem 2009. Další kritická chyba zabezpečení (CVSS 9) je přítomna v DNS resolveru (CVE-2020-11901) a umožňuje kód, který se má spustit spuštěním speciálně vytvořeného požadavku DNS (problém byl použit k předvedení hacku Schneider Electric UPS APC a objeví se na zařízeních s podporou DNS).

zatímco další chyby zabezpečení CVE-2020-11898, CVE-2020-11899, CVE-2020-11902, CVE-2020-11903, CVE-2020-11905 le umožnit poznat obsah zasláním balíčků speciálně vytvořené paměťové oblasti systému IPv4 / ICMPv4, IPv6OverIPv4, DHCP, DHCPv6 nebo IPv6. Jiné problémy mohou vést k odmítnutí služby nebo úniku zbytkových dat ze systémových vyrovnávacích pamětí.

Většina zranitelností byla opravena ve verzi Treck 6.0.1.67 (vydání CVE-2020-11897 opraveno na 5.0.1.35, CVE-2020-11900 na 6.0.1.41, CVE-2020-11903 na 6.0.1.28, CVE-2020-11908 na 4.7. 1.27).

Vzhledem k tomu, že příprava aktualizací firmwaru pro konkrétní zařízení může být časově náročná nebo nemožná, protože zásobník Treck je dodáván již více než 20 let, mnoho zařízení bylo ponecháno bez dozoru nebo je obtížné je aktualizovat.

Správcům se doporučuje izolovat problematická zařízení a konfigurovat normalizaci nebo blokování v systémech kontroly paketů, branách firewall nebo směrovačech, blokovat tunely IP (IPv6-v-IPv4 a IP-v-IP), blokovat «směrování zdroje», umožnit kontrolu nesprávné možnosti v paketech TCP, zablokujte nepoužívané řídicí zprávy ICMP (aktualizace MTU a maska ​​adresy).