Эксплойты Ripple20: 19 критических уязвимостей, угрожающих IoT/OT устройствам по всему миру

Кибербезопасные исследователи из JSOF выпустили исчерпывающий список 19 критических уязвимостей, известных как Ripple20, нацеленных на TCP/IP стек Treck. Этот стек встроен в миллионы устройств по здравоохранению, транспорту, производству, телекоммуникациям и энергетике, означая, что потенциальное влияние охватывает обширный массив критической инфраструктуры.

Ripple20 зеркалит 2019 Urgent/11 флаги, задевавшие TCP/IP стек Interpeak. Как Urgent/11, новые проблемы позволяют удаленное выполнение кода (RCE) и denial-of-service (DoS) атаки. Крупные вендоры — включая HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar и Baxter — уже подтвердили подверженность этим слабостям.

В то время как промышленный IoT портфель Cisco, такой как Cyber Vision и прибор ISA3000, не затронут Ripple20, Cisco признает, что подмножество своих продуктов может быть уязвимо. Адвайзори компании — доступен здесь — предоставляет детальное руководство. Cisco Cyber Vision, в сочетании с Talos-генерированными Snort сигнатурами, может обнаружить и помочь ремедировать Ripple20 угрозы в вашей сети.

Treck, основанная в 1997, доставляет оптимизированные протокольные стеки для real-time встроенных систем. Стек распространяется как исходный код, позволяя вендорам выбирать и адаптировать протокольные слои под memory-constrained IoT устройства. Эта гибкость, однако, может скрыть присутствие Treck компонентов в финальных продуктах, усложняя идентификацию уязвимостей, особенно после корпоративных приобретений.

Исторически Treck сотрудничала с японской фирмой Elmic System (ныне Zuken Elmic), производя параллельные TCP/IP стеки для США и азиатских рынков. Несколько уязвимостей Ripple20 также задевают стек Zuken Elmic.

Действуйте сейчас: адресуйте самые высокорисковые флаги Ripple20

Среди 19 проблем, четыре оценены как критические (CVSS >9). Они представляют наибольшую угрозу, позволяя атакующим выполнять произвольный код, запускать DoS атаки или эксфильтровать чувствительные данные. Самая серьезная, CVE-2020-11901, может быть спровоцирована сконструированным DNS ответом на запрос устройства, ведущим к RCE. Поскольку DNS трафик обычно выходит из сети, атакующие могут перехватить его с относительной легкостью, а эксплойт-пакеты соответствуют стандартным RFC, делая обнаружение файрволами сложным.

Для полного списка уязвимостей и технических деталей, посетите сайт JSOF здесь.

Обнаружите Ripple20 в вашей IoT/OT среде

JSOF оценивает, что миллиарды устройств могут быть затронуты, так как многие вендоры встраивают части Treck стека. CISA Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) опубликовал эволюционирующий список затронутых вендоров здесь. Пока вендорские адвайзори продолжают появляться, проактивные шаги могут помочь идентифицировать и митигировать риски.

Cisco Cyber Vision автоматически мапит вашу промышленную сеть, строит детальный инвентарь активов и подсвечивает известные уязвимости — включая Ripple20. База знаний регулярно обновляется и бесплатна для всех клиентов Cyber Vision. Мы рекомендуем скачать последнюю версию здесь, если вы еще не сделали этого.

Учитывая природу Ripple20 и вызовы патчинга наследия устройств, вы также должны рассмотреть дополнительные защитные меры.

Немедленные защитные действия

Разверните системы обнаружения вторжений (IDS), использующие Cisco Talos Snort правила для флагинга попыток эксплуатации. Cisco Cyber Vision может интегрировать эти правила, в то время как прибор ISA3000 предлагает IDS плюс real-time блокирующие возможности в rugged, on-site формате.

ISA3000 отлично справляется с сетевой сегментацией, изолируя устройства, которые не должны общаться напрямую, тем самым сдерживая потенциальные нарушения.

JSOF рекомендует дополнительные митигации, которые могут быть принуждены с ISA3000, такие как блокировка IP фрагментации, IP-in-IP туннелирования, malformed TCP пакетов, неиспользуемых ICMP сообщений и ограничение DHCP или других ненужных протоколов.

Для дополнительной информации о защите вашей промышленной сети, исследуйте IoT Security Hub или свяжитесь с Cisco для обсуждения адаптированных решений для вашей IoT/OT среды.