昨天,Forescout安全研究人员在四个开源TCP / IP库中发现了33个漏洞(代号:AMNESIA:33),影响了150多个供应商的数百万智能设备和工业Internet产品。
前瞻研究人员估计,迄今为止发现的数百万个消费者和工业设备都受到他们发现的33个漏洞(其中四个是高风险漏洞)的影响。几乎您能想到的每个Internet / IoT设备都可能被招募:包括智能手机,游戏机,传感器,片上系统(SOC)卡,HVAC系统,打印机,路由器,交换机,IP摄像机,自助结账亭,RFID资产跟踪器,ID卡读取器和不间断设备,电源和各种工业系统。
四个开源TCP / IP堆栈中有33个错误
失忆症:33个漏洞驻留在四个广泛使用的开源库中:uIP,FNET,picoTCP和Nut / Net。
在过去的二十年中,设备制造商经常将这四个库之一添加到其设备的固件中,以便其产品可以支持TCP / IP(当今使用最广泛的网络通信协议)。
根据Forescout的说法,由于TCP / IP堆栈提供了设备的关键功能,因此攻击者可以使用这33个漏洞进行各种攻击。
远程执行代码(RCE)以控制目标设备;
拒绝服务(DoS)会削弱功能并影响业务运营。
信息泄漏(Infoleak)以获得潜在的敏感信息;
DNS缓存中毒攻击用于将设备定向到恶意网站。
例如,可以远程使用可以连接到公司外部接口的路由器和其他网络设备。其他设备(例如传感器和工业设备)可能要求攻击者首先访问公司的内部网络。
从RIPPLE20到失忆症:33
受去年在TreckTCP / IP堆栈中发现Ripple20漏洞的启发,Forescout在今年早些时候启动了ProjectMemoria项目,以分析其他七个TCP / IP堆栈的安全性(见下图),并发现了AMNESIA:33个安全漏洞。
“我们的分析结合了自动模糊测试(基于libFuzzer的白盒代码检测),由Joern代码查询引擎的变体搜索,预制的安全性语料库和手动codeVerification进行指导的手动分析。”
从上面发表的研究可以看出,研究团队在lwIP,uC / TCP-IP和CycloneTCP的三个堆栈中没有发现任何差距。
研究人员补充说:“虽然这并不意味着这些堆栈没有漏洞,但我们发现这三个堆栈具有非常一致的边界控制,通常不基于shot弹枪解析。”
虽然失忆症:容易找到和修复33个漏洞,但真正的问题才刚刚开始。就像Ripple20漏洞一样,设备制造商需要更新TCP / IP堆栈并将其合并到产品的更新固件中。
尽管设备在某些情况下具有自己的无线更新机制(例如智能手机或网络设备),但可以轻松消除此漏洞。但是,许多其他易受攻击的设备甚至都没有提供更新固件的能力,这意味着某些设备可能在产品生命周期的剩余时间内保持脆弱。
在这种情况下,公司可能需要更换设备或采取对策,以防御利用AMNESIA:33漏洞的攻击。
但是,Forescout表示,检测漏洞本身也是一项艰巨的任务,因为如今许多设备都没有软件物料清单,而且许多公司甚至都不知道所运行的系统是否是四个系统之一失忆症:33无疑将潘多拉魔盒打开了物联网,警告世界智能设备和物联网生态系统仍然是一片混乱,并可能在未来几年内造成安全灾难。这些漏洞可归因于不良的编码实践,例如:例如,缺少基本输入验证和shot弹枪解析,这是Ripple20和AMNESIA中最常见的核心问题:33个安全漏洞。
Forescout提供了47页的PDF文档:
失忆症:33漏洞详细介绍。以下是所有失忆症的列表:从此47页的PDF文档中提取的33个漏洞: