11 פגיעויות הניתנות לניצול מרחוק בערימת TCP/IP של VxWorks

חוקרי אבטחה מארמיס חָשׂוּף מידע על 11 נקודות תורפה (PDF) בערימת ה-TCP/IP IPnet המשמשת במערכת ההפעלה VxWorks. הבעיות קיבלו את שם הקוד "URGENT/11". ניתן לנצל פגיעויות מרחוק על ידי שליחת מנות רשת שתוכננו במיוחד, לרבות עבור בעיות מסוימות ניתן לבצע תקיפה כאשר היא ניגשת דרך חומות אש ו-NAT (לדוגמה, אם התוקף שולט בשרת ה-DNS שאליו ניגש התקן פגיע הממוקם ברשת הפנימית) .

שש בעיות עלולות להוביל לביצוע קוד תוקף בעת עיבוד אפשרויות IP או TCP שהוגדרו בצורה שגויה בחבילה, כמו גם בעת ניתוח מנות DHCP. חמש בעיות מסוכנות פחות ויכולות להוביל לדליפת מידע או התקפות DoS. חשיפת הפגיעות תואמה עם Wind River, והמהדורה האחרונה של VxWorks 7 SR0620, שפורסמה בשבוע שעבר, כבר טיפלה בבעיות.

מכיוון שכל פגיעות משפיעה על חלק אחר של מחסנית הרשת, הבעיות עשויות להיות ספציפיות לגרסה, אך נאמר שלכל גרסה של VxWorks מאז 6.5 יש לפחות פגיעות אחת של ביצוע קוד מרחוק. במקרה זה, עבור כל גרסה של VxWorks יש צורך ליצור ניצול נפרד. לדברי ארמיס, הבעיה משפיעה על כ-200 מיליון מכשירים, כולל ציוד תעשייתי ורפואי, נתבים, טלפונים VOIP, חומות אש, מדפסות ומכשירי אינטרנט של הדברים השונים.

חברת ווינד ריבר רואהשהנתון הזה מוערך יתר על המידה והבעיה משפיעה רק על מספר קטן יחסית של מכשירים לא קריטיים, אשר, ככלל, מוגבלים לרשת הפנימית הארגונית. ערימת הרשת של IPnet הייתה זמינה רק במהדורות נבחרות של VxWorks, כולל מהדורות שאינן נתמכות עוד (לפני 6.5). מכשירים המבוססים על פלטפורמות VxWorks 653 ו-VxWorks Cert Edition המשמשות בתחומים קריטיים (רובוטים תעשייתיים, אלקטרוניקה לרכב ואלקטרוניקה תעופה) אינם נתקלים בבעיות.

נציגי ארמיס מאמינים כי בשל הקושי לעדכן מכשירים פגיעים, ייתכן שיופיעו תולעים שמדביקות רשתות מקומיות ותוקפות בהמוניהן את הקטגוריות הפופולריות ביותר של מכשירים פגיעים. לדוגמה, מכשירים מסוימים, כגון ציוד רפואי ותעשייתי, דורשים אישור מחדש ובדיקות מקיפות בעת עדכון הקושחה שלהם, מה שמקשה על עדכון הקושחה שלהם.

Wind River מאמיןשבמקרים כאלה, ניתן להפחית את הסיכון לפשרה על ידי הפעלת תכונות אבטחה מובנות כגון מחסנית שאינה ניתנת להפעלה, הגנה מפני הצפת מחסנית, הגבלת שיחות מערכת ובידוד תהליכים. ניתן לספק הגנה גם על ידי הוספת חתימות חוסמות תקיפה על חומות אש ומערכות למניעת חדירה, וכן על ידי הגבלת הגישה לרשת למכשיר רק להיקף האבטחה הפנימי.

מקור: OpenNet.ru