În stiva proprietară TCP/IP , exploatate prin trimiterea unor pachete formate special. Vulnerabilităților le-a fost atribuit codul nume . Unele dintre vulnerabilități se manifestă și în stiva TCP/IP KASAGO de la Zuken Elmic (Elmic Systems), care are rădăcini comune cu Treck. Stiva Treck este utilizată în multe dispozitive industriale, medicale, de comunicație, încorporate și de consum (de la becuri inteligente la imprimante și surse de alimentare neîntreruptibile), precum și în echipamente de energie, transport, aviație, comerț și extracție de petrol.
Printre țintele notabile pentru atacuri care utilizează stiva TCP/IP Treck se numără imprimantele de rețea HP și cipurile Intel. Problemele din stiva TCP/IP Treck s-au dovedit a fi cauza recentelor în subsistemele Intel AMT și ISM, exploatate prin trimiterea unui pachet de rețea. Producătorii Intel, HP, Hewlett Packard Enterprise, Baxter, Caterpillar, Digi, Rockwell Automation și Schneider Electric au confirmat existența vulnerabilităților. Încă
, a căror produse utilizează stiva TCP/IP Treck, nu au reacționat încă la probleme. 5 producători, printre care AMD, au declarat că produsele lor nu sunt afectate de aceste probleme.
Problemele au fost găsite în implementarea protocoalelor IPv4, IPv6, UDP, DNS, DHCP, TCP, ICMPv4 și ARP și sunt cauzate de manipularea incorectă a parametrilor de dimensiuni (utilizarea câmpului de dimensiune fără a verifica dimensiunea efectivă a datelor), erori în validarea informațiilor de intrare, eliberarea dublă a memoriei, citirea dintr-o zonă în afara bufferului, depășiri de număr întreg, controlul incorect al accesului și probleme în manipularea șirurilor cu separator nul.
Două probleme critice (CVE-2020-11896, CVE-2020-11897) cu un nivel CVSS de 10 permit executarea de cod pe dispozitiv prin trimiterea unor pachete IPv4/UDP sau IPv6 aranjate într-un anumit mod. Prima problemă critică apare pe dispozitivele care suportă tuneluri IPv4, iar a doua pe versiunile cu suport IPv6 lansate înainte de 04.06.2009. O alta vulnerabilitate critică (CVSS 9) se găsește în rezolvatorul DNS (CVE-2020-11901) și permite executarea codului prin trimiterea unei solicitări DNS special formate (problema a fost utilizată pentru a demonstra atacul asupra Schneider Electric APC UPS și se manifestă pe dispozitivele care suportă DNS).
Alte vulnerabilități CVE-2020-11898, CVE-2020-11899, CVE-2020-11902, CVE-2020-11903, CVE-2020-11905 permit prin trimiterea unor pachete IPv4/ICMPv4, IPv6OverIPv4, DHCP, DHCPv6 special formate să se afle conținutul zonelor de memorie ale sistemului. Celelalte probleme pot duce la o întrerupere a serviciului sau la scurgerea de date reziduale din buffer-ele sistemului.
Majoritatea vulnerabilităților au fost remediate în versiunea Treck 6.0.1.67 (problema CVE-2020-11897 a fost rezolvată în 5.0.1.35, CVE-2020-11900 în 6.0.1.41, CVE-2020-11903 în 6.0.1.28, CVE-2020-11908 în 4.7.1.27). Deoarece pregătirea actualizărilor firmware pentru dispozitive specifice poate dura sau poate fi imposibilă (stiva Treck este disponibilă de peste 20 de ani, multe dispozitive au rămas fără suport sau este dificil să le actualizezi), administratorii sunt sfătuiți să izoleze dispozitivele problematice și să configureze pe sisteme de inspecție a pachetelor, firewall-uri sau routere normalizarea sau blocarea pachetelor fragmentate, să blocheze tunelurile IP (IPv6-in-IPv4 și IP-in-IP), să blocheze „source routing”, să activeze inspecția opțiunilor incorecte în pachetele TCP, să blocheze mesajele ICMP de control care nu sunt utilizate (MTU Update și Address Mask), să interzică multicast-ul IPv6 și să redirecționeze solicitările DNS către un server DNS recursiv protejat.
Sursa: opennet.ro
