Hervorragender globaler Patch: VxWorks-Fehler, der Millionen von Geräten beschädigen kann

VxWorks ist für den allgemeinen Verbraucher kein bekanntes Produkt. Dieses Softwareprodukt wird zwangsläufig vielen Menschen wie Ihnen und mir täglich Vorteile bringen. Als weltweit beliebtestes Echtzeitbetriebssystem (RTOS) ist diese Software das Flaggschiffprodukt, das über Proxys für Unternehmensnetzwerke und Firewalls, Luft- und Raumfahrt-Schnittstellen, Industrieanlagen und sogar einige medizinische Geräte verwendet wird. Um nur einige der weit verbreiteten Anwendungsbereiche zu nennen.

Und jetzt stehen wir vor der Möglichkeit, dass es sich um mehrere hundert Millionen Dollar handeln könnte. In mehreren Milliarden dieserGeräte wurden derzeit mehr als elf Schwachstellen entdeckt. Arlen Baker, leitender Sicherheitsdesigner bei Wind River, hat diese Zahl in einem Artikel angezweifelt. Die genaue Anzahl ist nicht bestätigt und wird nicht für so hoch eingeschätzt. Dennoch wissen wir bereits, dass Datenverletzungen und Angriffe immer vorkommen, aber dies ist eine neue Dimension. Die identifizierten Schwachstellen können relativ leicht ausgenutzt werden und ermöglichen es Angreifern in den meisten Fällen, Geräte über Netzwerkpakete aus der Ferne zu steuern.

Natürlich hat Wind River eine Reihe von Korrekturen und Patches für betroffene Kunden und Mitarbeiter veröffentlicht. Das Problem ist jedoch, dass die Anzahl der Geräte, für die Patch-Updates erforderlich sind, einfach zu groß ist. Ähnlich wie Thanos mit einem Fingerschnippen die Welt vernichtet hat, werden viele Geräte unvermeidlich lange Zeit ungeschützt bleiben, da sie nicht gepatcht werden können.

Die Sicherheitsfirma Armis wurde als Urheber dieser bedeutenden Entdeckung bezeichnet. Notfall/11. Die Forscher kamen zweifellos zu dem Schluss, dass es sich um eine schwerwiegende Bedrohung handelt, da Angriffe über verschiedene Medien leicht durchzuführen sind und ein großes Infektionspotenzial besteht. Es ist durchaus möglich, Würmer zu erstellen und zu verbreiten, die die Software steuern, die alles von MRT-Scannern und VOIP-Produkten bis hin zu Zugnetzen und Ampeln antreibt.

Ist es Zeit, in Panik zu geraten?

Als jemand, der das Sicherheitsbewusstsein zu einer wichtigen Aufgabe seines Lebens gemacht hat, sehe ich jeden Tag viele potenzielle Sicherheitsprobleme. Wenn ich zu sehr in Panik gerate, verbringe ich den größten Teil des Tages in Hysterie. (Letztendlich ist es besser, wenn ich mich um Schulungen und die Behebung von Fehlern kümmere!).Aber der Umfang der von URGENT/11 entdeckten Schwachstellen ist ziemlich beängstigend. Sechs der elf entdeckten Schwachstellen gelten als schwerwiegend. Wir haben festgestellt, dass diese Schwachstellen in Geräten vorhanden sind, die Hacker News Version 6.5 oder höher mit VxWorks ausführen (mit Ausnahme von Versionen, die für die Zertifizierung entwickelt wurden, einschließlich VxWorks 653 und VxWorks Cert Edition). Das bedeutet, dass einige wichtige Technologien seit über zehn Jahren der Gefahr von Geräteübernahmeangriffen ausgesetzt sind. Nicht alle Geräte sind für alle elf Schwachstellen anfällig (einige können nur ausgenutzt werden, wenn sich der Angreifer im selben LAB-Subnetz befindet), aber selbst ein durchschnittlicher Hacker braucht nur eine einzige Gelegenheit.

Es ist wichtig zu beachten, dass Wind River über die folgenden Punkte verfügt. Das Unternehmen hat schnell Maßnahmen ergriffen und detaillierte Ratschläge gegeben. Wie bei Armis geht es um die Behebung von Problemen . Außerdem ist das Echtzeitbetriebssystem VxWorks sehr weit verbreitet. Das liegt daran, dass es sehr stabil ist und in Bezug auf die Softwaresicherheit sehr gut abschneidet. Im Allgemeinen kümmern sich Bug-Bounty-Jäger nicht sonderlich darum. Aber Sicherheitsfirmen und Wind River können nicht viel zur Lösung des Problems beitragen. Das Herunterladen von Patches, das Befolgen von Sicherheitsempfehlungen und das Absichern der eigenen Geräte liegt in der Hand der Endnutzer, und genau das ist das Schwierige daran.

Es besteht noch kein Grund zur Panik, aber um dieses Biest zu bezwingen, könnte das Dorf erforderlich sein.

Dringend/11 Beschreibung der Schwachstelle

Zu diesem Zeitpunkt können alle Geräte, die mit dem beschädigten VxWorks TCP/IP IPNet-Stack seit Version 6.5 verbunden sind, von mindestens einer der URGENT/11-Sicherheitslücken betroffen sein. (Die vollständige CVE-Liste von Wind River finden Sie hier.)

Diese Schwachstellen ermöglichen meist RCE (Remote Code Execution) und Denial-of-Service-Angriffe, von denen einige zu einer Offenlegung von Informationen führen. Das Gleiche gilt für Probleme mit der Geschäftslogik. In diesem Fall ist die Remote-Code-Ausführung ein besonders heikles Thema. Denn dadurch kann ein Angreifer das Gerät ohne Interaktion des Endnutzers kontrollieren. Niemand muss versehentlich auf verdächtige Elemente klicken, diese herunterladen oder Details eingeben. Dadurch werden VxWorks-Geräte sehr „angreifbar“ und der Angriff selbst wird zu einem automatisierten Lebenszyklus. Erinnern Sie sich an EternalBlue, den Wurm WannaCry? URGENT/11 ist ähnlich, hat aber ein noch größeres Potenzial, weltweit Probleme zu verursachen.

Was können wir dagegen tun?

Nun, zum Zeitpunkt der Erstellung dieses Artikels sind die Ergebnisse von URGENT/11 noch nicht bekannt. Die Medien haben großes Interesse in der Branche geweckt, und Wind River bietet den Betroffenen zuverlässige Unterstützung. Ob es Angreifer gibt, die diese bekannten Schwachstellen auf sinnvolle Weise ausnutzen wollen, wird sich in den nächsten Monaten zeigen. Bis dahin besteht die beste Lösung jedoch darin, den zahlreichen Ratschlägen zu folgen und die entsprechenden Geräte mit Patches zu versehen.

Langfristig bleibt die Mission dieselbe: Alle müssen im Bereich der Softwaresicherheit bessere Ergebnisse erzielen. URGENT/11 CVE ist im Allgemeinen eine besorgniserregend einfache Hintertür, und die Tatsache, dass sie so lange unentdeckt blieb, ist ein Beweis dafür, dass das Bewusstsein und die Besorgnis in der gesamten Branche recht gering sind.

Alle Entwickler haben die Möglichkeit, ihre jeweilige Rolle auszuüben, und benötigen Unterstützung, um bereits in der frühen Entwicklungsphase Methoden zur Codesicherheit zu erlernen. Von AppSec bis zur obersten Führungsebene – mit einflussreichen Teams in der Umgebung kann eine positive Sicherheitskultur an allen Software-Berührungspunkten im Unternehmen gefördert werden.

Möchten Sie Ihr Sicherheitsbewusstsein testen? Mit unserer spielerischen Plattform können Sie reale Code-Probleme lösen, die denen ähneln, die in URGENT/11 entdeckt wurden. Probieren Sie es aus und sehen Sie, wie Sie abschneiden.

• Heap-Überlauf bei der DHCP-Offer/ACK-Analyse von ipdhcpc (CVE-2019-12257)
  Speicherbeschädigung – Heap-Überlauf
• TCP-Verbindung-DoS durch TCP-Optionen in falschem Format (CVE-2019-12258)
  Unzureichender Schutz der Transportschicht – Ungeschützte Übertragung sensibler Informationen
• Logischer Fehler bei der IPv4-Zuweisung durch den DHCP-Client (CVE-2019-12264)
  Fehler in der Geschäftslogik
• DoS durch NULL-Rückverweis beim IGMP-Parsing (CVE-2019-12259)
  Speicherbeschädigung – Null-Rückverweis
• IGMPv3-spezifischer Mitgliederbericht (CVE-2019-12265) über IGMP-Informationsleck
  Informationspreisgabe – Offenlegung sensibler Daten