Ripple20, serangkaian kerentanan dalam tumpukan TCP / IP Treck yang memengaruhi berbagai perangkat

Baru-baru ini tersiar kabar itu sekitar 19 kerentanan ditemukan di tumpukan TCP / IP milik Treck, yang dapat dimanfaatkan dengan mengirimkan paket yang dirancang khusus.

Kerentanan ditemukan, diberi nama kode Ripple20 dan beberapa kerentanan ini juga muncul di tumpukan TCP / IP KASAGO (Sistem Elmic) Zuken Elmic, yang berbagi akar yang sama dengan Treck.

Hal yang mengkhawatirkan tentang rangkaian kerentanan yang ditemukan ini adalah itu tumpukan TCP / IP Treck digunakan oleh banyak perangkat industri, medis, komunikasi, tertanam dan konsumen, dari lampu pintar hingga printer dan catu daya tak terputus), serta energi, transportasi, penerbangan, perdagangan, dan peralatan produksi minyak.

Tentang kerentanan

Target penting untuk serangan menggunakan Treck TCP / IP stack termasuk printer jaringan HP dan chip Intel.

Dimasukkannya masalah pada tumpukan jejak TCP / IP ternyata menjadi alasan kerentanan jarak jauh Terbaru dalam subsistem Intel AMT dan ISM dieksploitasi dengan mengirimkan paket jaringan.

Intel, HP, Hewlett Packard Enterprise, Baxter, Caterpillar, Digi, Rockwell Automation, dan Schneider Electric mengonfirmasi kerentanan. Selain 66 pabrikan lain, yang produknya menggunakan Treck TCP / IP stack, belum menanggapi masalah tersebut, 5 pabrikan, termasuk AMD, mengumumkan bahwa produk mereka tidak terkena masalah.

Masalah ditemukan dalam implementasi dari protokol IPv4, IPv6, UDP, DNS, DHCP, TCP, ICMPv4 dan ARP, dan disebabkan oleh pemrosesan parameter yang salah dengan ukuran data (menggunakan bidang dengan ukuran tanpa memeriksa ukuran sebenarnya dari data), kesalahan saat memeriksa informasi input, bebas memori ganda, membaca dari area di luar penyangga , bilangan bulat overflows, kontrol akses salah, dan masalah pemrosesan string dengan pemisah nol.

Dampak dari kerentanan ini akan bervariasi karena kombinasi opsi kompilasi dan runtime yang digunakan saat mengembangkan sistem tertanam yang berbeda. Keragaman penerapan dan kurangnya visibilitas ke dalam rantai pasokan telah memperburuk masalah dalam menilai secara akurat dampak kerentanan ini. 

Singkatnya, penyerang jarak jauh yang tidak diautentikasi dapat menggunakan paket jaringan yang dibuat khusus untuk menyebabkan penolakan layanan, mengungkapkan informasi, atau mengeksekusi kode arbitrer.

Dua Masalah Paling Berbahaya (CVE-2020-11896, CVE-2020-11897), yang diberi CVSS level 10, memungkinkan penyerang untuk dapat mengeksekusi kodenya pada perangkat dengan mengirimkan paket IPv4 / UDP atau IPv6 dengan cara tertentu.

Masalah kritis pertama muncul pada perangkat dengan dukungan untuk terowongan IPv4, dan yang kedua pada versi berkemampuan IPv6 dirilis sebelum 4 Juni 2009. Kerentanan kritis lainnya (CVSS 9) ada di resolver DNS (CVE-2020-11901) dan memungkinkan kode untuk dijalankan dengan mengirimkan permintaan DNS yang dibuat khusus (masalah ini digunakan untuk mendemonstrasikan peretasan APC UPS Schneider Electric dan muncul di perangkat dengan dukungan DNS).

sementara kerentanan lainnya CVE-2020-11898, CVE-2020-11899, CVE-2020-11902, CVE-2020-11903, CVE-2020-11905 le memungkinkan untuk mengetahui konten dengan mengirimkan paket area memori IPv4 / ICMPv4, IPv6OverIPv4, DHCP, DHCPv6 atau IPv6 yang dibuat khusus dari sistem. Masalah lain dapat menyebabkan penolakan layanan atau kebocoran data sisa dari buffer sistem.

Sebagian besar kerentanan telah diperbaiki pada rilis Treck 6.0.1.67 (masalah CVE-2020-11897 diperbaiki di 5.0.1.35, CVE-2020-11900 di 6.0.1.41, CVE-2020-11903 di 6.0.1.28, CVE-2020-11908 di 4.7. 1.27).

Karena menyiapkan pembaruan firmware untuk perangkat tertentu dapat memakan waktu atau tidak mungkin, karena tumpukan Treck telah disediakan selama lebih dari 20 tahun, banyak perangkat yang dibiarkan tanpa pengawasan atau merepotkan untuk diperbarui.

Administrator disarankan untuk mengisolasi perangkat bermasalah dan mengkonfigurasi normalisasi atau pemblokiran dalam sistem inspeksi paket, firewall atau router paket terfragmentasi, memblokir terowongan IP (IPv6-in-IPv4 dan IP-in-IP), memblokir «perutean sumber», mengaktifkan pemeriksaan opsi yang salah dalam paket TCP, blokir pesan kontrol ICMP yang tidak digunakan (Pembaruan MTU dan Masker Alamat).