グレート・グローバル・パッチ：VxWorksの欠陥により数百万台のデバイスが危険にさらされる
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
VxWorksは平均的な消費者にはあまり知られていませんが、このソフトウェア製品は、あなたや私と同じように、毎日多くの人々にメリットをもたらしています。そして今、私たちは何億台ものVxWorks搭載デバイスが危険にさらされている可能性に直面しています。
Vorstandsvorsitzender, Chairman und Mitbegründer
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約
Vorstandsvorsitzender, Chairman und Mitbegründer
Pieter Danhieux ist ein weltweit anerkannter Sicherheitsexperte mit mehr als 12 Jahren Erfahrung als Sicherheitsberater und 8 Jahren als Principal Instructor für SANS, wo er offensive Techniken lehrt, wie man Organisationen, Systeme und Einzelpersonen auf Sicherheitsschwächen hin untersucht und bewertet. Im Jahr 2016 wurde er als einer der "Coolest Tech People in Australia" (Business Insider) ausgezeichnet, erhielt die Auszeichnung "Cyber Security Professional of the Year" (AISA - Australian Information Security Association) und besitzt die Zertifizierungen GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
Klicken Sie auf den folgenden Link, um die PDF-Datei dieser Ressource herunterzuladen.
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenデモを予約
Vorstandsvorsitzender, Chairman und Mitbegründer
Pieter Danhieux ist ein weltweit anerkannter Sicherheitsexperte mit mehr als 12 Jahren Erfahrung als Sicherheitsberater und 8 Jahren als Principal Instructor für SANS, wo er offensive Techniken lehrt, wie man Organisationen, Systeme und Einzelpersonen auf Sicherheitsschwächen hin untersucht und bewertet. Im Jahr 2016 wurde er als einer der "Coolest Tech People in Australia" (Business Insider) ausgezeichnet, erhielt die Auszeichnung "Cyber Security Professional of the Year" (AISA - Australian Information Security Association) und besitzt die Zertifizierungen GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
目次
Vorstandsvorsitzender, Chairman und Mitbegründer
Secure Code Warrior schützt Ihren Code während des gesamten Softwareentwicklungszyklus und hilft Ihnen dabei, eine Kultur zu schaffen, in der Cybersicherheit oberste Priorität hat. Ganz gleich, ob Sie Anwendungs-Sicherheitsmanager, Entwickler, CISO oder Sicherheitsbeauftragter sind – wir helfen Ihnen dabei, die mit unsicherem Code verbundenen Risiken zu minimieren.
デモを予約[ダウンロード]Ressourcen für den Einstieg
Themen und Inhalte der Secure-Code-Schulung
Unsere branchenführenden Inhalte werden unter Berücksichtigung der Aufgaben unserer Kunden ständig weiterentwickelt, um mit der sich ständig verändernden Softwareentwicklungsumgebung Schritt zu halten. Sie decken alle Themen von KI bis hin zu XQuery-Injection ab und sind für verschiedene Aufgabenbereiche konzipiert, von Architekten und Ingenieuren bis hin zu Produktmanagern und Qualitätssicherungsfachleuten. Werfen Sie einen Blick auf die Inhalte unseres Content-Katalogs, sortiert nach Themen und Aufgabenbereichen.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen für den Einstieg
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
「Cybermon 2025 Beat the Boss」 kann nun das ganze Jahr über bei SCW gespielt werden. Führen Sie anspruchsvolle AI/LLM-Sicherheitsherausforderungen ein, um die sichere AI-Entwicklung in großem Maßstab zu stärken.
Erläuterung des Cyber-Resilience-Gesetzes: Bedeutung für die Entwicklung sicherer Software
Erfahren Sie, was das EU-Gesetz zur Cyberresilienz (CRA) verlangt, für wen es gilt und wie sich Ingenieurteams auf Secure-by-Design-Praktiken, Schwachstellenprävention und die Kompetenzentwicklung von Entwicklern vorbereiten können.
Enabler 1: Definierte und messbare Erfolgskriterien
Enabler 1 ist der erste Teil der zehnteiligen Reihe „Enablers of Success“ und zeigt, wie sichere Programmierung mit geschäftlichen Ergebnissen wie Risikominderung und Geschwindigkeit verknüpft werden kann, um Programme langfristig zu optimieren.
