Ripple20, en række sårbarheder i Trecks TCP / IP-stak, der påvirker forskellige enheder

For nylig brød nyheden det omkring 19 sårbarheder blev fundet i Trecks proprietære TCP / IP-stak, som kan udnyttes ved at sende specialdesignede pakker.

Sårbarhederne fundet, blev tildelt kodenavnet Ripple20 og nogle af disse sårbarheder vises også i Zuken Elmic's (Elmic Systems) KASAGO TCP / IP-stack, som deler fælles rødder med Treck.

Den bekymrende ting ved denne række sårbarheder, der er fundet, er, at TCP / IP Treck stack bruges af mange enheder industriel, medicinsk, kommunikation, integreret og forbruger, fra smarte lamper til printere og uafbrydelig strømforsyning) såvel som inden for energi, transport, luftfart, handel og olieproduktionsudstyr.

Om sårbarheder

Bemærkelsesværdige mål for angreb ved hjælp af TCP / IP Treck-stakken de inkluderer HP-netværksprintere og Intel-chips.

Inkludering af problemer på TCP / IP Treck stack viste sig at være årsagen til fjernsårbarheden Senest i Intel AMT- og ISM-undersystemer, der udnyttes ved at sende en netværkspakke.

Intel, HP, Hewlett Packard Enterprise, Baxter, Caterpillar, Digi, Rockwell Automation og Schneider Electric bekræftede sårbarhederne. Ud over 66 andre producenter, hvis produkter bruger Treck TCP / IP-stakken, endnu ikke har reageret på problemerne, meddelte 5 producenter, inklusive AMD, at deres produkter ikke var genstand for problemer.

Der blev fundet problemer i implementeringen af protokollerne IPv4, IPv6, UDP, DNS, DHCP, TCP, ICMPv4 og ARP, og blev forårsaget af forkert behandling af parametrene med datastørrelsen (ved hjælp af et felt med en størrelse uden at kontrollere den faktiske størrelse af dataene), fejl ved kontrol af inputinformationen, dobbelt hukommelsesfri, læst fra et område uden for bufferen , heltal overløb, forkert adgangskontrol og problemer med at behandle strenge med en nul separator.

Virkningen af ​​disse sårbarheder vil variere på grund af kombinationen af ​​kompilering og runtime-indstillinger, der bruges ved udvikling af forskellige integrerede systemer. Denne mangfoldighed af implementeringer og manglende synlighed i forsyningskæden har forværret problemet med nøjagtig vurdering af virkningen af ​​disse sårbarheder. 

Kort sagt kan en uautoriseret fjernangriber bruge specielt udformede netværkspakker til at forårsage en lammelsesangreb, afsløre oplysninger eller udføre vilkårlig kode.

De to farligste problemer (CVE-2020-11896, CVE-2020-11897), som er tildelt CVSS niveau 10, giver en angriber mulighed for at udføre sin kode på enheden ved at sende IPv4 / UDP- eller IPv6-pakker på en bestemt måde.

Det første kritiske problem vises på enheder med understøttelse af IPv4-tunneller, og det andet om IPv6-aktiverede versioner, der blev frigivet inden 4. juni 2009. En anden kritisk sårbarhed (CVSS 9) er til stede i DNS-opløseren (CVE-2020-11901) og tillader koden, der skal udføres ved at sende en specielt udformet DNS-anmodning (problemet blev brugt til at demonstrere Schneider Electric UPS APC-hacket og vises på enheder med DNS-support).

Mens andre sårbarheder CVE-2020-11898, CVE-2020-11899, CVE-2020-11902, CVE-2020-11903, CVE-2020-11905 le tillad at kende indholdet ved at sende pakker specielt udformede IPv4 / ICMPv4, IPv6OverIPv4, DHCP, DHCPv6 eller IPv6 hukommelsesområder i systemet. Andre problemer kan føre til tjenestenekt eller resterende datalækage fra systembuffere.

De fleste af sårbarhederne blev løst på Treck 6.0.1.67-udgivelse (CVE-2020-11897-udgave rettet 5.0.1.35, CVE-2020-11900 ved 6.0.1.41, CVE-2020-11903 på 6.0.1.28, CVE-2020-11908 ved 4.7).

Da forberedelse af firmwareopdateringer til bestemte enheder kan være tidskrævende eller umulig, da Treck-stakken er leveret i over 20 år, har mange enheder været uden opsyn eller besværlige at opdatere.

Administratorer rådes til at isolere problematiske enheder og konfigurere normalisering eller blokering i pakkeinspektionssystemer, firewalls eller routere fragmenterede pakker, blokere IP-tunneler (IPv6-i-IPv4 og IP-i-IP), blokere «kilde-routing», aktivere inspektion af forkerte indstillinger i TCP-pakker, blokerer ubrugte ICMP-kontrolmeddelelser (MTU-opdatering og adressemaske).