Kërkuesit nga kompania NCC Group rezultatet e auditi të projektit të lirë , sistemin operativ në kohë reale (RTOS), i cili është fokusuar në pajisjet që përkojnë me konceptin e "Internetit të Things" (IoT, Internet of Things). Gjatë auditi, u identifikuan në Zephyr dhe 1 vulnerabilitet në MCUboot. Zhvillimi i Zephyr po bëhet me përfshirjen e kompanive Intel.
Në total u identifikuan 6 vulnerabilitete në stack-un rrjetor, 4 në kernel, 2 në shell-in komandues, 5 në menaxherët e thirrjeve sistemore, 5 në nën-sistemin USB dhe 3 në mekanizmin e përditësimit të firmware-it. Dy problemeve iu caktua niveli kritik i rrezikshmërisë, dy – i lartë, 9 të moderuar, 9 – të ulët dhe 4 – për t'u marrë parasysh. Problemet kritike prekin stack-un IPv4 dhe parserin MQTT, ndërsa ato të rrezikshme – drejtuesit e ruajtjes USB dhe USB DFU. Në momentin e zbulimit, rregullimet ishin përgatitur vetëm për 15 vulnerabilitetet më të rrezikshme; problemet që sjellin ndalimin e shërbimit ose lidhen me papërsosmëritë në mekanizmat shtesë të mbrojtjes së kernelit ende mbesin të pa rregulluara.
Në stack-un IPv4 të platformës u identifikua një vulnerabilitet që mund të shfrytëzohet nga distanca, duke çuar në dëmtim të memories gjatë përpunimit të ICMP-paketave të modifikuara në një mënyrë specifike. Një tjetër problem i rëndësishëm u gjet në parserin e protokollit MQTT, i cili shkaktohet nga mungesa e verifikimit të duhur të gjatësi të fushave në tituj dhe mund të çojë në ekzekutimin e kodit nga distanca. Problemet më pak të rrezikshme që çojnë në ndalim të shërbimit u gjetën në stack-un IPv6 dhe realizimin e protokollit CoAP.
Problemet e tjera mund të shfrytëzohen lokal për të shkaktuar ndalim të shërbimit ose ekzekutimin e kodit në nivelin e kernelit. Shumica e këtyre vulnerabiliteteve lidhen me mungesën e kontrollit të duhur të argumenteve të thirrjeve sistemore dhe mund të çojnë në shkrim dhe lexim të hapësirave të memories së kernelit. Problemet përfshijnë gjithashtu kodin e përpunimit të thirrjeve sistemore – një thirrje me një numër negativ të thirrjes së sistemit rezulton në mbivlerësim të numrave. Në kernel janë identifikuar probleme në realizimin e mbrojtjes ASLR (randomizimi i hapësirës adresore) dhe mekanizmit për vendosjen e etiketave canary në stek, duke i bërë këto mekanizma joefektive.
Shumë probleme prekin stack-un USB dhe drejtues të veçantë. Për shembull, një problem në ruajtjen USB lejon të shkaktojë mbivlerësim të buffer dhe të ekzekutojë kod në nivelin e kernelit kur një pajisje lidhet me një host USB të kontrolluar nga një sulmues. Një vulnerabilitet në USB DFU, drejtuesin për shkarkimin e firmware-it të ri përmes USB, lejon ngarkimin e një imazhi të modifikuar të firmware-it në Flash mikrokontrollerit, pa përdorur enkriptimin dhe duke u anashkaluar modalitetin e ngarkimit të sigurt me verifikimin e komponenteve përmes nënshkrimit digjital. Për më tepër, u shqyrtua Kodi i ngarkuesit të hapur , në të cilin u gjend një vulnerabilitet i pa rrezikshëm,
i cili mund të çojë në mbivlerësim të buffer gjatë përdorimit të protokollit SMP (Simple Management Protocol) përmes UART.
Kujtojmë se në Zephyr për të gjitha proceset ofrohet vetëm një hapësirë globale e përbashkët virtuale (SASOS, Single Address Space Operating System). Kodi specifik për aplikacionet kombinohet me kernelin e përshtatur për aplikimin specifik dhe krijon një skedë ekzekutimi monolitike për ngarkimin dhe ekzekutimin në pajisjet e caktuara. Të gjitha burimet sistemore përcaktohen në fazën e kompilimit, çka zvogëlon madhësinë e kodit dhe rrit performancën. Në imazhin sistemor mund të inkluzohen vetëm ato mundësi të kernelit që kërkohen për ekzekutimin e aplikacionit.
Është e rëndësishme të theksohet se një nga përfitimet kryesore të Zephyr është zhvillimi me fokus në sigurinë. , se të gjitha fazat e zhvillimit kalojnë detyrimisht në përmbushjen e hapave të verifikimit të sigurisë së kodit: testimi fuzzing, analiza statike, provat e depërtimit, rishikimi i kodit, analiza e implantimit të backdoor-ve dhe modelimi i kërcënimeve.
Burimi: opennet.ru
