Le grand correctif mondial : les failles de VxWorks sont sur le point de compromettre des millions d'appareils
Alors que VxWorks n'est pas vraiment un nom familier pour le consommateur moyen, ce produit logiciel profite inévitablement à de nombreuses personnes comme vous et moi, chaque jour. En tant que système d'exploitation en temps réel (RTOS) le plus populaire au monde, c'est le cheval de bataille sur lequel nous nous appuyons (par proxy) pour alimenter les réseaux d'entreprise et les pare-feux, les interfaces aérospatiales, les équipements industriels et même certains dispositifs médicaux, pour ne citer que quelques applications de son utilisation généralisée.
Et maintenant, nous sommes confrontés à la possibilité que des centaines de millions, sinon milliards, de ces appareils, présentent désormais au moins onze vulnérabilités. L'architecte en chef de la sécurité de Wind River, Arlen Baker, a contesté ce chiffre dans un article de Sécurité de la recherche, révélant que la portée exacte n'est pas confirmée et ne serait pas si élevée. Malgré cela, nous savons déjà que les violations de données et les attaques se produisent en permanence, mais il s'agit d'une étape supplémentaire : les failles confirmées sont relativement faciles à exploiter, nombre d'entre elles ouvrant la porte et permettant aux attaquants de contrôler les appareils à distance grâce à la transmission de paquets réseau.
Wind River a bien entendu publié une série de correctifs et de correctifs pour les clients et les associés concernés. Le problème réside dans le grand nombre d'appareils nécessitant la mise à jour du correctif, un peu comme Thanos met fin au monde d'un clic de doigts, inévitable que de nombreux appareils ne seront pas corrigés, et donc vulnérables, pendant longtemps.
Entreprise de sécurité Armis était à l'origine de cette découverte gigantesque, surnommant leurs découvertes URGENT/11. Ils l'ont identifiée comme grave, sans aucun doute en raison de la facilité d'attaque par de multiples vecteurs et de la possibilité d'une infection étendue. La création et le déploiement d'un ver dans un logiciel qui alimente tout, des scanners IRM aux produits VOIP, en passant par les réseaux ferroviaires et les feux de signalisation, sont tout à fait possibles.
Est-il temps de paniquer ?
En tant que personne ayant fait de la sensibilisation à la sécurité une mission essentielle de sa vie, je vois de nombreux problèmes de sécurité potentiels au quotidien. Je passerais la majeure partie de ma journée à être hystérique si je me permettais de trop paniquer (après tout, je préfère me consacrer à l'éducation et à la correction des bugs !). Cependant, la portée de la découverte URGENT/11 est assez effrayante. Sur les onze vulnérabilités détectées, six sont considérées comme critiques. Comme L'actualité des hackers identifie que ces failles existent sur les appareils exécutant VxWorks depuis la version 6.5 (à l'exception des versions conçues pour la certification, notamment VxWorks 653 et VxWorks Cert Edition), ce qui signifie que certaines technologies vitales sont menacées par des attaques de prise de contrôle d'appareils depuis plus de dix ans. Tous les appareils ne sont pas vulnérables aux onze failles (et certaines ne peuvent être exploitées que si l'attaquant se trouve sur le même sous-réseau LAB), mais même un pirate informatique médiocre n'a besoin que d'une petite fenêtre d'opportunité.
Il est important de noter que Wind River possède a agi rapidement et a fourni des conseils détaillés sur l'atténuation des problèmes, comme Armis l'a fait. De plus, le VxWorks RTOS est largement adopté parce que il est tellement fiable et obtient de bons résultats en matière de réglementation en matière de sécurité logicielle. En général, les chasseurs de bugs ne s'en soucient pas trop. Cependant, les entreprises de sécurité et Wind River ne peuvent pas faire grand-chose pour résoudre le problème... C'est à l'utilisateur final de télécharger les correctifs, de suivre les conseils de sécurité et de renforcer ses propres appareils, et c'est là que les choses se compliquent.
Peut-être n'avons-nous pas besoin de paniquer pour l'instant, mais il faudrait peut-être tout un village pour vaincre cette bête et la soumettre.
Les vulnérabilités URGENT/11 expliquées
À ce stade, tout périphérique connecté à la pile IPnet VxWorks TCP/IP compromise depuis la version 6.5 peut être affecté par au moins l'un des protocoles URGENT/11. (Pour une liste complète des CVE de Wind River, voir ici).
Ces failles permettent principalement l'exécution de code à distance (RCE) et des attaques par déni de service, certaines entraînant une exposition d'informations et logique métier problèmes également. L'exécution de code à distance est une question particulièrement délicate dans ce cas, car un attaquant peut prendre le contrôle d'un appareil sans aucune interaction de l'utilisateur final. Personne n'est obligé de cliquer accidentellement sur un objet suspect, de télécharger quoi que ce soit ou de saisir ses coordonnées... Cela rend les appareils VxWorks hautement « vermifuges » et l'attaque prend automatiquement vie. Souvenez-vous d'EternalBlue Wanna Cry ver ? URGENT/11 a le même potentiel, mais plus dévastateur, de provoquer un casse-tête mondial.
Que pouvons-nous y faire ?
Eh bien, au moment de la rédaction de cet article, les conséquences d'URGENT/11 restent inconnues. Les médias ont sensibilisé l'industrie et Wind River apporte clairement son soutien aux personnes touchées. Les mois à venir révéleront si des attaquants choisissent d'exploiter ces failles connues de manière significative, mais en attendant, la solution évidente est de suivre la pléthore de conseils et de patcher tous les appareils pertinents sur votre orbite.
À long terme, la mission reste la même : tout le monde doit faire mieux en matière de sécurité logicielle. Les CVE URGENT/11 sont généralement des portes dérobées d'une simplicité inquiétante à franchir, et le fait qu'ils soient restés inconnus pendant de nombreuses années témoigne de l'inquiétude et de la sensibilisation générales de l'industrie.
Chaque développeur a la possibilité de faire sa part, et il a besoin de soutien pour apprendre à sécuriser le code dès le début de la production. Les équipes influentes qui les entourent, qu'il s'agisse d'AppSec ou de la haute direction, peuvent garantir le développement d'une culture de sécurité positive à chaque point de contact logiciel de l'entreprise.
Vous voulez tester votre propre niveau de sensibilisation à la sécurité ? Notre plateforme gamifiée peut vous proposer de véritables défis de code similaires à ceux découverts dans URGENT/11. Découvrez-les et voyez comment vous vous en sortez :
- Débordement de tas dans l'offre DHCP/analyse ACK dans ipdhcpc (CVE-2019-12257)
Corruption de la mémoire - Heap Overflow - Déni de connexion TCP via des options TCP mal formées (CVE-2019-12258)
Protection insuffisante de la couche de transport - Transport non protégé d'informations sensibles - Faille logique dans l'attribution d'IPv4 par le client DHCP ipdhcpc (CVE-2019-12264)
Failles de logique commerciale - DoS via le déréférencement NULL dans l'analyse syntaxique IGMP (CVE-2019-12259)
Corruption de la mémoire - Déréférencement nul - Fuite d'informations IGMP via un rapport d'adhésion spécifique à l'IGMPv3 (CVE-2019-12265)
Exposition aux informations - Exposition aux données sensibles
Bien que VxWorks ne soit pas un nom familier pour le consommateur moyen, ce produit logiciel profite à de nombreuses personnes, comme vous et moi, chaque jour. Et aujourd'hui, nous sommes confrontés à la possibilité que des centaines de millions d'appareils alimentés par VxWorks soient désormais compromis.
Vorstandsvorsitzender, Chairman und Mitbegründer
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Vorstandsvorsitzender, Chairman und Mitbegründer
Pieter Danhieux ist ein weltweit anerkannter Sicherheitsexperte mit mehr als 12 Jahren Erfahrung als Sicherheitsberater und 8 Jahren als Principal Instructor für SANS, wo er offensive Techniken lehrt, wie man Organisationen, Systeme und Einzelpersonen auf Sicherheitsschwächen hin untersucht und bewertet. Im Jahr 2016 wurde er als einer der "Coolest Tech People in Australia" (Business Insider) ausgezeichnet, erhielt die Auszeichnung "Cyber Security Professional of the Year" (AISA - Australian Information Security Association) und besitzt die Zertifizierungen GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Alors que VxWorks n'est pas vraiment un nom familier pour le consommateur moyen, ce produit logiciel profite inévitablement à de nombreuses personnes comme vous et moi, chaque jour. En tant que système d'exploitation en temps réel (RTOS) le plus populaire au monde, c'est le cheval de bataille sur lequel nous nous appuyons (par proxy) pour alimenter les réseaux d'entreprise et les pare-feux, les interfaces aérospatiales, les équipements industriels et même certains dispositifs médicaux, pour ne citer que quelques applications de son utilisation généralisée.
Et maintenant, nous sommes confrontés à la possibilité que des centaines de millions, sinon milliards, de ces appareils, présentent désormais au moins onze vulnérabilités. L'architecte en chef de la sécurité de Wind River, Arlen Baker, a contesté ce chiffre dans un article de Sécurité de la recherche, révélant que la portée exacte n'est pas confirmée et ne serait pas si élevée. Malgré cela, nous savons déjà que les violations de données et les attaques se produisent en permanence, mais il s'agit d'une étape supplémentaire : les failles confirmées sont relativement faciles à exploiter, nombre d'entre elles ouvrant la porte et permettant aux attaquants de contrôler les appareils à distance grâce à la transmission de paquets réseau.
Wind River a bien entendu publié une série de correctifs et de correctifs pour les clients et les associés concernés. Le problème réside dans le grand nombre d'appareils nécessitant la mise à jour du correctif, un peu comme Thanos met fin au monde d'un clic de doigts, inévitable que de nombreux appareils ne seront pas corrigés, et donc vulnérables, pendant longtemps.
Entreprise de sécurité Armis était à l'origine de cette découverte gigantesque, surnommant leurs découvertes URGENT/11. Ils l'ont identifiée comme grave, sans aucun doute en raison de la facilité d'attaque par de multiples vecteurs et de la possibilité d'une infection étendue. La création et le déploiement d'un ver dans un logiciel qui alimente tout, des scanners IRM aux produits VOIP, en passant par les réseaux ferroviaires et les feux de signalisation, sont tout à fait possibles.
Est-il temps de paniquer ?
En tant que personne ayant fait de la sensibilisation à la sécurité une mission essentielle de sa vie, je vois de nombreux problèmes de sécurité potentiels au quotidien. Je passerais la majeure partie de ma journée à être hystérique si je me permettais de trop paniquer (après tout, je préfère me consacrer à l'éducation et à la correction des bugs !). Cependant, la portée de la découverte URGENT/11 est assez effrayante. Sur les onze vulnérabilités détectées, six sont considérées comme critiques. Comme L'actualité des hackers identifie que ces failles existent sur les appareils exécutant VxWorks depuis la version 6.5 (à l'exception des versions conçues pour la certification, notamment VxWorks 653 et VxWorks Cert Edition), ce qui signifie que certaines technologies vitales sont menacées par des attaques de prise de contrôle d'appareils depuis plus de dix ans. Tous les appareils ne sont pas vulnérables aux onze failles (et certaines ne peuvent être exploitées que si l'attaquant se trouve sur le même sous-réseau LAB), mais même un pirate informatique médiocre n'a besoin que d'une petite fenêtre d'opportunité.
Il est important de noter que Wind River possède a agi rapidement et a fourni des conseils détaillés sur l'atténuation des problèmes, comme Armis l'a fait. De plus, le VxWorks RTOS est largement adopté parce que il est tellement fiable et obtient de bons résultats en matière de réglementation en matière de sécurité logicielle. En général, les chasseurs de bugs ne s'en soucient pas trop. Cependant, les entreprises de sécurité et Wind River ne peuvent pas faire grand-chose pour résoudre le problème... C'est à l'utilisateur final de télécharger les correctifs, de suivre les conseils de sécurité et de renforcer ses propres appareils, et c'est là que les choses se compliquent.
Peut-être n'avons-nous pas besoin de paniquer pour l'instant, mais il faudrait peut-être tout un village pour vaincre cette bête et la soumettre.
Les vulnérabilités URGENT/11 expliquées
À ce stade, tout périphérique connecté à la pile IPnet VxWorks TCP/IP compromise depuis la version 6.5 peut être affecté par au moins l'un des protocoles URGENT/11. (Pour une liste complète des CVE de Wind River, voir ici).
Ces failles permettent principalement l'exécution de code à distance (RCE) et des attaques par déni de service, certaines entraînant une exposition d'informations et logique métier problèmes également. L'exécution de code à distance est une question particulièrement délicate dans ce cas, car un attaquant peut prendre le contrôle d'un appareil sans aucune interaction de l'utilisateur final. Personne n'est obligé de cliquer accidentellement sur un objet suspect, de télécharger quoi que ce soit ou de saisir ses coordonnées... Cela rend les appareils VxWorks hautement « vermifuges » et l'attaque prend automatiquement vie. Souvenez-vous d'EternalBlue Wanna Cry ver ? URGENT/11 a le même potentiel, mais plus dévastateur, de provoquer un casse-tête mondial.
Que pouvons-nous y faire ?
Eh bien, au moment de la rédaction de cet article, les conséquences d'URGENT/11 restent inconnues. Les médias ont sensibilisé l'industrie et Wind River apporte clairement son soutien aux personnes touchées. Les mois à venir révéleront si des attaquants choisissent d'exploiter ces failles connues de manière significative, mais en attendant, la solution évidente est de suivre la pléthore de conseils et de patcher tous les appareils pertinents sur votre orbite.
À long terme, la mission reste la même : tout le monde doit faire mieux en matière de sécurité logicielle. Les CVE URGENT/11 sont généralement des portes dérobées d'une simplicité inquiétante à franchir, et le fait qu'ils soient restés inconnus pendant de nombreuses années témoigne de l'inquiétude et de la sensibilisation générales de l'industrie.
Chaque développeur a la possibilité de faire sa part, et il a besoin de soutien pour apprendre à sécuriser le code dès le début de la production. Les équipes influentes qui les entourent, qu'il s'agisse d'AppSec ou de la haute direction, peuvent garantir le développement d'une culture de sécurité positive à chaque point de contact logiciel de l'entreprise.
Vous voulez tester votre propre niveau de sensibilisation à la sécurité ? Notre plateforme gamifiée peut vous proposer de véritables défis de code similaires à ceux découverts dans URGENT/11. Découvrez-les et voyez comment vous vous en sortez :
- Débordement de tas dans l'offre DHCP/analyse ACK dans ipdhcpc (CVE-2019-12257)
Corruption de la mémoire - Heap Overflow - Déni de connexion TCP via des options TCP mal formées (CVE-2019-12258)
Protection insuffisante de la couche de transport - Transport non protégé d'informations sensibles - Faille logique dans l'attribution d'IPv4 par le client DHCP ipdhcpc (CVE-2019-12264)
Failles de logique commerciale - DoS via le déréférencement NULL dans l'analyse syntaxique IGMP (CVE-2019-12259)
Corruption de la mémoire - Déréférencement nul - Fuite d'informations IGMP via un rapport d'adhésion spécifique à l'IGMPv3 (CVE-2019-12265)
Exposition aux informations - Exposition aux données sensibles
Alors que VxWorks n'est pas vraiment un nom familier pour le consommateur moyen, ce produit logiciel profite inévitablement à de nombreuses personnes comme vous et moi, chaque jour. En tant que système d'exploitation en temps réel (RTOS) le plus populaire au monde, c'est le cheval de bataille sur lequel nous nous appuyons (par proxy) pour alimenter les réseaux d'entreprise et les pare-feux, les interfaces aérospatiales, les équipements industriels et même certains dispositifs médicaux, pour ne citer que quelques applications de son utilisation généralisée.
Et maintenant, nous sommes confrontés à la possibilité que des centaines de millions, sinon milliards, de ces appareils, présentent désormais au moins onze vulnérabilités. L'architecte en chef de la sécurité de Wind River, Arlen Baker, a contesté ce chiffre dans un article de Sécurité de la recherche, révélant que la portée exacte n'est pas confirmée et ne serait pas si élevée. Malgré cela, nous savons déjà que les violations de données et les attaques se produisent en permanence, mais il s'agit d'une étape supplémentaire : les failles confirmées sont relativement faciles à exploiter, nombre d'entre elles ouvrant la porte et permettant aux attaquants de contrôler les appareils à distance grâce à la transmission de paquets réseau.
Wind River a bien entendu publié une série de correctifs et de correctifs pour les clients et les associés concernés. Le problème réside dans le grand nombre d'appareils nécessitant la mise à jour du correctif, un peu comme Thanos met fin au monde d'un clic de doigts, inévitable que de nombreux appareils ne seront pas corrigés, et donc vulnérables, pendant longtemps.
Entreprise de sécurité Armis était à l'origine de cette découverte gigantesque, surnommant leurs découvertes URGENT/11. Ils l'ont identifiée comme grave, sans aucun doute en raison de la facilité d'attaque par de multiples vecteurs et de la possibilité d'une infection étendue. La création et le déploiement d'un ver dans un logiciel qui alimente tout, des scanners IRM aux produits VOIP, en passant par les réseaux ferroviaires et les feux de signalisation, sont tout à fait possibles.
Est-il temps de paniquer ?
En tant que personne ayant fait de la sensibilisation à la sécurité une mission essentielle de sa vie, je vois de nombreux problèmes de sécurité potentiels au quotidien. Je passerais la majeure partie de ma journée à être hystérique si je me permettais de trop paniquer (après tout, je préfère me consacrer à l'éducation et à la correction des bugs !). Cependant, la portée de la découverte URGENT/11 est assez effrayante. Sur les onze vulnérabilités détectées, six sont considérées comme critiques. Comme L'actualité des hackers identifie que ces failles existent sur les appareils exécutant VxWorks depuis la version 6.5 (à l'exception des versions conçues pour la certification, notamment VxWorks 653 et VxWorks Cert Edition), ce qui signifie que certaines technologies vitales sont menacées par des attaques de prise de contrôle d'appareils depuis plus de dix ans. Tous les appareils ne sont pas vulnérables aux onze failles (et certaines ne peuvent être exploitées que si l'attaquant se trouve sur le même sous-réseau LAB), mais même un pirate informatique médiocre n'a besoin que d'une petite fenêtre d'opportunité.
Il est important de noter que Wind River possède a agi rapidement et a fourni des conseils détaillés sur l'atténuation des problèmes, comme Armis l'a fait. De plus, le VxWorks RTOS est largement adopté parce que il est tellement fiable et obtient de bons résultats en matière de réglementation en matière de sécurité logicielle. En général, les chasseurs de bugs ne s'en soucient pas trop. Cependant, les entreprises de sécurité et Wind River ne peuvent pas faire grand-chose pour résoudre le problème... C'est à l'utilisateur final de télécharger les correctifs, de suivre les conseils de sécurité et de renforcer ses propres appareils, et c'est là que les choses se compliquent.
Peut-être n'avons-nous pas besoin de paniquer pour l'instant, mais il faudrait peut-être tout un village pour vaincre cette bête et la soumettre.
Les vulnérabilités URGENT/11 expliquées
À ce stade, tout périphérique connecté à la pile IPnet VxWorks TCP/IP compromise depuis la version 6.5 peut être affecté par au moins l'un des protocoles URGENT/11. (Pour une liste complète des CVE de Wind River, voir ici).
Ces failles permettent principalement l'exécution de code à distance (RCE) et des attaques par déni de service, certaines entraînant une exposition d'informations et logique métier problèmes également. L'exécution de code à distance est une question particulièrement délicate dans ce cas, car un attaquant peut prendre le contrôle d'un appareil sans aucune interaction de l'utilisateur final. Personne n'est obligé de cliquer accidentellement sur un objet suspect, de télécharger quoi que ce soit ou de saisir ses coordonnées... Cela rend les appareils VxWorks hautement « vermifuges » et l'attaque prend automatiquement vie. Souvenez-vous d'EternalBlue Wanna Cry ver ? URGENT/11 a le même potentiel, mais plus dévastateur, de provoquer un casse-tête mondial.
Que pouvons-nous y faire ?
Eh bien, au moment de la rédaction de cet article, les conséquences d'URGENT/11 restent inconnues. Les médias ont sensibilisé l'industrie et Wind River apporte clairement son soutien aux personnes touchées. Les mois à venir révéleront si des attaquants choisissent d'exploiter ces failles connues de manière significative, mais en attendant, la solution évidente est de suivre la pléthore de conseils et de patcher tous les appareils pertinents sur votre orbite.
À long terme, la mission reste la même : tout le monde doit faire mieux en matière de sécurité logicielle. Les CVE URGENT/11 sont généralement des portes dérobées d'une simplicité inquiétante à franchir, et le fait qu'ils soient restés inconnus pendant de nombreuses années témoigne de l'inquiétude et de la sensibilisation générales de l'industrie.
Chaque développeur a la possibilité de faire sa part, et il a besoin de soutien pour apprendre à sécuriser le code dès le début de la production. Les équipes influentes qui les entourent, qu'il s'agisse d'AppSec ou de la haute direction, peuvent garantir le développement d'une culture de sécurité positive à chaque point de contact logiciel de l'entreprise.
Vous voulez tester votre propre niveau de sensibilisation à la sécurité ? Notre plateforme gamifiée peut vous proposer de véritables défis de code similaires à ceux découverts dans URGENT/11. Découvrez-les et voyez comment vous vous en sortez :
- Débordement de tas dans l'offre DHCP/analyse ACK dans ipdhcpc (CVE-2019-12257)
Corruption de la mémoire - Heap Overflow - Déni de connexion TCP via des options TCP mal formées (CVE-2019-12258)
Protection insuffisante de la couche de transport - Transport non protégé d'informations sensibles - Faille logique dans l'attribution d'IPv4 par le client DHCP ipdhcpc (CVE-2019-12264)
Failles de logique commerciale - DoS via le déréférencement NULL dans l'analyse syntaxique IGMP (CVE-2019-12259)
Corruption de la mémoire - Déréférencement nul - Fuite d'informations IGMP via un rapport d'adhésion spécifique à l'IGMPv3 (CVE-2019-12265)
Exposition aux informations - Exposition aux données sensibles
Klicken Sie auf den untenstehenden Link und laden Sie das PDF dieser Ressource herunter.
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht anzeigenDemo buchen
Vorstandsvorsitzender, Chairman und Mitbegründer
Pieter Danhieux ist ein weltweit anerkannter Sicherheitsexperte mit mehr als 12 Jahren Erfahrung als Sicherheitsberater und 8 Jahren als Principal Instructor für SANS, wo er offensive Techniken lehrt, wie man Organisationen, Systeme und Einzelpersonen auf Sicherheitsschwächen hin untersucht und bewertet. Im Jahr 2016 wurde er als einer der "Coolest Tech People in Australia" (Business Insider) ausgezeichnet, erhielt die Auszeichnung "Cyber Security Professional of the Year" (AISA - Australian Information Security Association) und besitzt die Zertifizierungen GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
Alors que VxWorks n'est pas vraiment un nom familier pour le consommateur moyen, ce produit logiciel profite inévitablement à de nombreuses personnes comme vous et moi, chaque jour. En tant que système d'exploitation en temps réel (RTOS) le plus populaire au monde, c'est le cheval de bataille sur lequel nous nous appuyons (par proxy) pour alimenter les réseaux d'entreprise et les pare-feux, les interfaces aérospatiales, les équipements industriels et même certains dispositifs médicaux, pour ne citer que quelques applications de son utilisation généralisée.
Et maintenant, nous sommes confrontés à la possibilité que des centaines de millions, sinon milliards, de ces appareils, présentent désormais au moins onze vulnérabilités. L'architecte en chef de la sécurité de Wind River, Arlen Baker, a contesté ce chiffre dans un article de Sécurité de la recherche, révélant que la portée exacte n'est pas confirmée et ne serait pas si élevée. Malgré cela, nous savons déjà que les violations de données et les attaques se produisent en permanence, mais il s'agit d'une étape supplémentaire : les failles confirmées sont relativement faciles à exploiter, nombre d'entre elles ouvrant la porte et permettant aux attaquants de contrôler les appareils à distance grâce à la transmission de paquets réseau.
Wind River a bien entendu publié une série de correctifs et de correctifs pour les clients et les associés concernés. Le problème réside dans le grand nombre d'appareils nécessitant la mise à jour du correctif, un peu comme Thanos met fin au monde d'un clic de doigts, inévitable que de nombreux appareils ne seront pas corrigés, et donc vulnérables, pendant longtemps.
Entreprise de sécurité Armis était à l'origine de cette découverte gigantesque, surnommant leurs découvertes URGENT/11. Ils l'ont identifiée comme grave, sans aucun doute en raison de la facilité d'attaque par de multiples vecteurs et de la possibilité d'une infection étendue. La création et le déploiement d'un ver dans un logiciel qui alimente tout, des scanners IRM aux produits VOIP, en passant par les réseaux ferroviaires et les feux de signalisation, sont tout à fait possibles.
Est-il temps de paniquer ?
En tant que personne ayant fait de la sensibilisation à la sécurité une mission essentielle de sa vie, je vois de nombreux problèmes de sécurité potentiels au quotidien. Je passerais la majeure partie de ma journée à être hystérique si je me permettais de trop paniquer (après tout, je préfère me consacrer à l'éducation et à la correction des bugs !). Cependant, la portée de la découverte URGENT/11 est assez effrayante. Sur les onze vulnérabilités détectées, six sont considérées comme critiques. Comme L'actualité des hackers identifie que ces failles existent sur les appareils exécutant VxWorks depuis la version 6.5 (à l'exception des versions conçues pour la certification, notamment VxWorks 653 et VxWorks Cert Edition), ce qui signifie que certaines technologies vitales sont menacées par des attaques de prise de contrôle d'appareils depuis plus de dix ans. Tous les appareils ne sont pas vulnérables aux onze failles (et certaines ne peuvent être exploitées que si l'attaquant se trouve sur le même sous-réseau LAB), mais même un pirate informatique médiocre n'a besoin que d'une petite fenêtre d'opportunité.
Il est important de noter que Wind River possède a agi rapidement et a fourni des conseils détaillés sur l'atténuation des problèmes, comme Armis l'a fait. De plus, le VxWorks RTOS est largement adopté parce que il est tellement fiable et obtient de bons résultats en matière de réglementation en matière de sécurité logicielle. En général, les chasseurs de bugs ne s'en soucient pas trop. Cependant, les entreprises de sécurité et Wind River ne peuvent pas faire grand-chose pour résoudre le problème... C'est à l'utilisateur final de télécharger les correctifs, de suivre les conseils de sécurité et de renforcer ses propres appareils, et c'est là que les choses se compliquent.
Peut-être n'avons-nous pas besoin de paniquer pour l'instant, mais il faudrait peut-être tout un village pour vaincre cette bête et la soumettre.
Les vulnérabilités URGENT/11 expliquées
À ce stade, tout périphérique connecté à la pile IPnet VxWorks TCP/IP compromise depuis la version 6.5 peut être affecté par au moins l'un des protocoles URGENT/11. (Pour une liste complète des CVE de Wind River, voir ici).
Ces failles permettent principalement l'exécution de code à distance (RCE) et des attaques par déni de service, certaines entraînant une exposition d'informations et logique métier problèmes également. L'exécution de code à distance est une question particulièrement délicate dans ce cas, car un attaquant peut prendre le contrôle d'un appareil sans aucune interaction de l'utilisateur final. Personne n'est obligé de cliquer accidentellement sur un objet suspect, de télécharger quoi que ce soit ou de saisir ses coordonnées... Cela rend les appareils VxWorks hautement « vermifuges » et l'attaque prend automatiquement vie. Souvenez-vous d'EternalBlue Wanna Cry ver ? URGENT/11 a le même potentiel, mais plus dévastateur, de provoquer un casse-tête mondial.
Que pouvons-nous y faire ?
Eh bien, au moment de la rédaction de cet article, les conséquences d'URGENT/11 restent inconnues. Les médias ont sensibilisé l'industrie et Wind River apporte clairement son soutien aux personnes touchées. Les mois à venir révéleront si des attaquants choisissent d'exploiter ces failles connues de manière significative, mais en attendant, la solution évidente est de suivre la pléthore de conseils et de patcher tous les appareils pertinents sur votre orbite.
À long terme, la mission reste la même : tout le monde doit faire mieux en matière de sécurité logicielle. Les CVE URGENT/11 sont généralement des portes dérobées d'une simplicité inquiétante à franchir, et le fait qu'ils soient restés inconnus pendant de nombreuses années témoigne de l'inquiétude et de la sensibilisation générales de l'industrie.
Chaque développeur a la possibilité de faire sa part, et il a besoin de soutien pour apprendre à sécuriser le code dès le début de la production. Les équipes influentes qui les entourent, qu'il s'agisse d'AppSec ou de la haute direction, peuvent garantir le développement d'une culture de sécurité positive à chaque point de contact logiciel de l'entreprise.
Vous voulez tester votre propre niveau de sensibilisation à la sécurité ? Notre plateforme gamifiée peut vous proposer de véritables défis de code similaires à ceux découverts dans URGENT/11. Découvrez-les et voyez comment vous vous en sortez :
- Débordement de tas dans l'offre DHCP/analyse ACK dans ipdhcpc (CVE-2019-12257)
Corruption de la mémoire - Heap Overflow - Déni de connexion TCP via des options TCP mal formées (CVE-2019-12258)
Protection insuffisante de la couche de transport - Transport non protégé d'informations sensibles - Faille logique dans l'attribution d'IPv4 par le client DHCP ipdhcpc (CVE-2019-12264)
Failles de logique commerciale - DoS via le déréférencement NULL dans l'analyse syntaxique IGMP (CVE-2019-12259)
Corruption de la mémoire - Déréférencement nul - Fuite d'informations IGMP via un rapport d'adhésion spécifique à l'IGMPv3 (CVE-2019-12265)
Exposition aux informations - Exposition aux données sensibles
Inhaltsverzeichnis
Vorstandsvorsitzender, Chairman und Mitbegründer
Secure Code Warrior Ihr Unternehmen dabei, den Code während des gesamten Softwareentwicklungszyklus zu sichern und eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie für die Anwendungssicherheit verantwortlich sind, Entwickler, IT-Sicherheitsbeauftragter oder in einer anderen Funktion im Bereich Sicherheit tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen, die Ihnen den Einstieg erleichtern
Themen und Inhalte der Schulung zum sicheren Code
Unsere hochmodernen Inhalte werden ständig weiterentwickelt, um mit den ständigen Veränderungen in der Softwareentwicklungslandschaft Schritt zu halten und gleichzeitig Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis hin zu XQuery-Injection und sind für eine Vielzahl von Positionen konzipiert, von Architekten über Ingenieure bis hin zu Produktmanagern und Qualitätssicherungsmitarbeitern. Verschaffen Sie sich einen Überblick über die Inhalte unseres Katalogs, sortiert nach Themen und Rollen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen, die Ihnen den Einstieg erleichtern
Cybermon ist zurück: Die missions „Beat the Boss“ sind jetzt auf Abruf verfügbar.
Cybermon 2025 Beat the Boss ist jetzt das ganze Jahr über in SCW verfügbar. Setzen Sie fortschrittliche Sicherheitsherausforderungen im Zusammenhang mit KI und LLM ein, um die sichere Entwicklung von KI in großem Maßstab zu stärken.
Erläuterung des Gesetzes zur Cyberresilienz: Was bedeutet das für die Entwicklung sicherer Software bereits ab der Konzeption?
Entdecken Sie, was das europäische Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams durch Sicherheitsmaßnahmen bereits in der Entwurfsphase, durch die Vermeidung von Schwachstellen und durch die Stärkung der Fähigkeiten der Entwickler darauf vorbereiten können.
Moderator 1: Definierte und messbare Erfolgskriterien
Enabler 1 gibt den Startschuss für unsere 10-teilige Serie mit dem Titel „Enablers of Success“ und zeigt, wie sichere Codierung mit geschäftlichen Ergebnissen wie Risikominderung und Schnelligkeit kombiniert werden kann, um die langfristige Reife von Programmen sicherzustellen.
