25 уязвимости в RTOS Zephyr, включително експлоатирани чрез ICMP пакет

Изследователи от NCC Group публикуваха резултатите от одит на свободен проект Zephyr, развиващ операционна система в реално време (RTOS), нацелена към осигуряване на устройства, съответстващи на концепцията "Интернет на нещата" (IoT). По време на одита бяха установени 25 уязвимости в Zephyr и 1 уязвимост в MCUboot. Разработката на Zephyr се извършва с участието на компании като Intel.

Общо бяха установени 6 уязвимости в мрежовия стек, 4 в ядрото, 2 в командния интерпретатор, 5 в обработчиците на системни повиквания, 5 в подсистемата USB и 3 в механизма за обновяване на фърмуера. На две от проблемите е присвоено критично ниво на опасност, на две — високо, 9 — умерено, 9 — ниско и 4 — за внимание. Критичните проблеми засягат стека IPv4 и парсера MQTT, опасните — драйверите за USB масови памети и USB DFU. Към момента на разкритие, корекции бяха подготвени само за 15-те най-опасни уязвимости, оставащи неотстранени проблеми, водещи до отказ в обслужването или свързани с недостатъците в механизмите за допълнителна защита на ядрото.

В стека IPv4 на платформата е установена уязвимост, която може да се експлоатира дистанционно и причинява повреда на паметта при обработка на определено модифицирани ICMP пакети. Още един сериозен проблем е открит в парсера на протокола MQTT, причинен от липсата на адекватна проверка на дължината на полетата в заглавката и може да доведе до дистанционно изпълнение на код. По-малко опасни проблеми, водещи до отказ в обслужването, са открити в IPv6 стека и реализацията на протокола CoAP.

Останалите проблеми могат да се експлоатират локално, за да предизвикат отказ в обслужването или изпълнение на код на ниво ядро. Голяма част от тези уязвимости са свързани с липсата на адекватни проверки на аргументите на системните повиквания и могат да доведат до запис и четене на произволни области на ядрената памет. Проблемите обхващат и самия код на обработка на системни повиквания — достъп до отрицателен номер на системно повикване води до цялочислено препълване. В ядрото също са открити проблеми в реализацията на защитата ASLR (рандомизация на адресното пространство) и механизма за поставяне на канарени маркери в стека, които правят тези механизми неефективни.

Много проблем затрагивают USB стека и отделни драйвери. Например, проблемата с USB mass storage позволява да се предизвика преливане на буфера и да се изпълни код на ниво ядро, когато устройството е свързано към USB хост, контролирано от нападателя. Уязвимостта в USB DFU, драйвера за качване на нов фърмуе по USB, позволява да се качи модифициран образ на фърмуе в вътрешния Flash микроконтролер без прилагане на криптиране и заобикаляне на режима на защитен стартиране с проверка на компонентите по цифрова подпис. Допълнително беше проучен кодът на отворения зареждач. MCUboot, в който беше намерена една неопасна уязвимост,
която може да доведе до преливане на буфера при използване на протокола SMP (Simple Management Protocol) през UART.

Напомняме, че в Zephyr за всички процеси се предоставя само едно глобално споделено виртуално адресно пространство (SASOS, Single Address Space Operating System). Специфичният за приложения код се комбинира с адаптирано за конкретното приложение ядро и образува монолитен изпълним файл за зареждане и стартиране на определено оборудване. Всички системни ресурси се определят на етапа на компилация, което съкращава размера на кода и увеличава производителността. В системния образ могат да бъдат включени само тези възможности на ядрото, които са необходими за изпълнението на приложението.

Примечателно е, че сред ключовите достойнства на Zephyr се споменава разработка с оглед на безопасността. Утвърдиха, че всички етапи на разработката преминават през задължителни етапи на потвърждение на безопасността на кода: fuzzing-тестиране, статичен анализ, изпитания на проникване, преглед на кода, анализ на внедряване на бэкдори и моделиране на заплахи.

Източник: opennet.ru