11 vom Remotely exploitable Schwachstellen im TCP/IP-Stack von VxWorks

Sicherheitsforscher von Armis haben aufgedeckt Informationen über 11 Schwachstellen (PDF) im TCP/IP-Stack IPnet, der im Betriebssystem VxWorks verwendet wird. Den Problemen wurde der Codename „URGENT/11“ zugewiesen. Die Schwachstellen können aus der Ferne ausgenutzt werden, indem speziell gestaltete Netzwerkpakete gesendet werden. Bei einigen Problemen kann sogar ein Angriff erfolgen, wenn über Firewalls und NAT zugegriffen wird (zum Beispiel, wenn der Angreifer den DNS-Server kontrolliert, auf den das in einem internen Netzwerk verwundbare Gerät zugreift).

Sechs Probleme können zu einem Remote-Code-Execution durch falsche IP- oder TCP-Optionen im Paket sowie beim Parsen von DHCP-Paketen führen. Fünf Probleme sind weniger gefährlich und können zu Datenlecks oder DoS-Angriffen führen. Die Offenlegung der Schwachstellen wurde mit Wind River koordiniert — in der letzten Woche veröffentlichten Version VxWorks 7 SR0620 wurden die Probleme bereits behoben.

Da jede Schwachstelle unterschiedliche Teile des Netzwerk-Stacks betrifft, können die Probleme spezifisch für bestimmte Versionen sein. Dennoch wird behauptet, dass in jeder VxWorks-Version ab 6.5 mindestens eine Schwachstelle existiert, die das Remote-Code-Execution ermöglicht. Für jede Variante von VxWorks muss ein separater Exploit entwickelt werden. Laut Schätzungen von Armis betrifft das Problem etwa 200 Millionen Geräte, darunter industrielle und medizinische Ausrüstungen, Router, VOIP-Telefone, Firewalls, Drucker und verschiedene IoT-Geräte.

Das Unternehmen Wind River glaubt, dass diese Zahl übertrieben ist und das Problem nur eine relativ kleine Anzahl von nicht kritischen Geräten betrifft, die in der Regel auf ein internes Unternehmensnetzwerk beschränkt sind. Der IPnet-Stack wurde nur in einigen Ausgaben von VxWorks geliefert, einschließlich Versionen, deren Unterstützung bereits eingestellt wurde (vor 6.5). In Geräten, die auf VxWorks 653 und VxWorks Cert Edition basieren, die in sicherheitskritischen Bereichen (industrielle Roboter, Automobil- und Luftfahrt-Elektronik) verwendet werden, treten keine Probleme auf.

Die Vertreter von Armis sind der Ansicht, dass aufgrund der Komplexität der Aktualisierungen anfälliger Geräte das Auftreten von Würmern, die lokale Netzwerke angreifen und in großem Maßstab die populärsten Kategorien anfälliger Geräte angreifen, nicht ausgeschlossen ist. Einige Geräte, wie medizinische und industrielle Ausrüstungen, erfordern bei der Aktualisierung der Firmware eine erneute Zertifizierung und langwierige Tests, was die Aktualisierung der Firmware erschwert.

Wind River glaubt, dass in solchen Fällen das Risiko einer Kompromittierung durch die Aktivierung bereits vorhandener eingebauter Sicherheitsmittel, wie zum Beispiel nicht ausführbarer Stack, Schutz vor Stacküberläufen, Einschränkung von Systemaufrufen und Prozessisolierung, verringert werden kann. Schutz kann auch durch das Hinzufügen von Angriffsblockier-Signaturen auf Firewalls und Intrusion Prevention Systemen sowie durch die Einschränkung des Zugangs zum Gerät auf den internen Sicherheitsperimeter gewährleistet werden.

Quelle: opennet.ru