I ricercatori di sicurezza di Armis informazioni su () nel stack TCP/IP IPnet, utilizzato nel sistema operativo VxWorks. I problemi sono stati assegnati il nome in codice «URGENT/11». Le vulnerabilità possono essere sfruttate da remoto attraverso l'invio di pacchetti di rete appositamente formattati; per alcuni problemi, è possibile effettuare un attacco anche attraverso firewall e NAT (ad esempio, se l'attaccante controlla il server DNS a cui si connette il dispositivo vulnerabile all'interno della rete).
Sei problemi possono portare all'esecuzione di codice malevolo durante l'elaborazione di opzioni IP o TCP errate nel pacchetto e durante l'analisi dei pacchetti DHCP. Cinque problemi sono meno gravi e possono portare a perdite di informazioni o attacchi DoS. La divulgazione delle vulnerabilità è stata coordinata con Wind River: nell'ultimo rilascio di VxWorks 7 SR0620 pubblicato la settimana scorsa, i problemi sono già stati risolti.
Poiché ogni vulnerabilità colpisce diverse parti dello stack di rete, i problemi possono essere specifici per determinate versioni, ma si afferma che in ogni versione di VxWorks a partire dalla 6.5 si manifesti almeno una vulnerabilità che consente l'esecuzione remota di codice. Per ogni variante di VxWorks è necessario sviluppare un exploit separato. Secondo la compagnia Armis, il problema interessa circa 200 milioni di dispositivi, tra cui attrezzature industriali e mediche, router, telefoni VOIP, firewall, stampanti e vari dispositivi IoT.
Wind River , affermando che questa cifra è gonfiata e che il problema riguarda solo un numero relativamente ridotto di dispositivi non critici, che di solito sono limitati a una rete aziendale interna. Lo stack di rete IPnet era fornito solo in alcune edizioni di VxWorks, comprese le versioni la cui supporto è già cessato (fino alla 6.5). Nei dispositivi basati sulle piattaforme VxWorks 653 e VxWorks Cert Edition, utilizzate in settori critici (robot industriali, elettronica automobilistica e aeronautica), i problemi non si manifestano.
I rappresentanti di Armis ritengono che, a causa della complessità degli aggiornamenti dei dispositivi vulnerabili, non si possa escludere la comparsa di worm che colpiscono le reti locali e attaccano in massa le categorie di dispositivi vulnerabili più popolari. Ad esempio, alcuni dispositivi, come le attrezzature medicali e industriali, richiedono una ri-certificazione e un lungo periodo di test quando si aggiornano i firmware, il che complica il processo di aggiornamento.
Wind River , in questi casi il rischio di compromissione può essere ridotto attivando i già esistenti strumenti di sicurezza integrati, come stack non eseguibili, protezione contro il buffer overflow, limitazione delle chiamate di sistema e isolamento dei processi. La protezione può essere garantita anche tramite l'aggiunta di firme di attacco bloccanti nei firewall e nei sistemi di prevenzione delle intrusioni, oltre a limitare l'accesso di rete al dispositivo solo tramite il perimetro di sicurezza interno.
Fonte: opennet.ru
