物联网安全风暴：“Ripple20”漏洞波及数亿联网设备

日前，以色列安全公司JSOF曝出的一“波”19个物联网软件漏洞（统称Ripple20，其中四个很严重）波及全球数亿个物联网（IoT）和工业控制设备。

研究人员表示，他们将这19个漏洞命名为“Ripple20”并不是说发现了20个漏洞，而是因为这些漏洞将在2020年及以后的IoT市场中连锁引发安全风暴。更糟糕的是，研究人员指出目前发现的19个Ripple20零日漏洞可能只是冰山一角，而且攻击者的恶意代码可能会在嵌入式设备中潜伏多年。

Ripple20漏洞存在于一个90年代设计的软件库——物联网开发商广泛使用的，由Treck公司开发的TCP/IP软件库，用于实现轻量级的TCP / IP堆栈。在过去的20多年间，该库已经被广泛使用并集成到无数企业和个人消费者设备中。

JSOF研究实验室的研究人员称，受影响的硬件几乎无所不在，包括从联网打印机到医用输液泵和工业控制设备的海量设备。Treck的用户包括大把财富500强跨国公司，例如惠普、施耐德电气、英特尔、Rockwell Automation、Caterpillar，Baxter…以及医疗、运输、工业控制、能源（石油/天然气），电信，零售和商业等行业的许多其他主要国际供应商。

研究人员在周二的一篇文章中说：“软件库的广泛传播（及其内部漏洞）是供应链“涟漪效应”的结果。” “单个易受攻击的组件虽然影响很小，但可能会向外扩散，从而影响广泛的行业、应用程序、公司和个人。”

这些被称为Ripple20的漏洞包括四个高危远程代码执行漏洞。如果将这四个漏洞武器化，它们可使攻击者轻松接管智能设备或任何工业或医疗设备。如果设备在线连接，则可以通过互联网进行攻击；如果攻击者获得了内部网络的立足点（例如，通过受损的路由器），则可以通过本地网络进行攻击。

这四个漏洞对于僵尸网络运营商和针对性攻击都是理想的选择。考虑到Treck在整个软件领域的庞大影响，测试并修复所有系统的Ripple20漏洞应成为所有公司的首要任务。

“Ripple20”包含四个高危漏洞，详情如下：

CVE-2020-11896，其CVSS v3评分为10（满分10分），可以通过将多个格式错误的IPv4数据包发送到支持IPv4隧道的设备来触发。

CVE-2020-11897的CVSS v3漏洞严重性评分也达到了10分，属于越界写入漏洞，可以通过向设备发送多个格式错误的IPv6数据包来触发。它会影响任何运行旧版支持IPv6的Treck设备，并且先前已通过例行代码更改对其进行了修复。该漏洞可能潜在地允许稳定的远程代码执行。

CVE-2020-11901的CVSS v3漏洞严重性评分9，可以通过回答设备发出的单个DNS请求来触发。它可以使攻击者绕过任何安全措施，从而渗透网络，执行代码并接管设备。

JSOF表示：

CVE-2020-11898，CVSS v3评分9.1，当处理未经授权的网络攻击者发送的数据包时，这是对IPv4 / ICMPv4组件中的长度参数不一致错误的不当处理。它可以导致信息被公开。

其他15个漏洞的严重性评分从8.2到3.7不等。高达8.2的严重漏洞（例如CVE-2020-11900，一种可使用后使用的缺陷）到低严重性的不正确输入验证问题（例如CVE-2020-11913，严重性评分为3.7）。

JSOF表示：

JSOF警告说：

据悉，JSOF将在8月的Black Hat USA虚拟大会上提供有关漏洞的更多详细信息。

安全人士指出，Ripple20漏洞的影响预计与2019年7月披露的Urgent / 11漏洞类似，后者至今仍在调查中，业界至今仍在定期发现并修补新的漏洞设备。Urgent / 11漏洞影响了VxWorks实时操作系统的TCP / IP（IPnet）网络堆栈，该系统是IoT和工业领域中广泛使用的另一种产品。Ripple20漏洞的修补进程可以参考Urgent/11，后者至今仍有很多产品未能修复补丁（因为产品报废、供应商停止运营、设备无法停机等原因）。

Treck本周一已经发布了补丁，供OEM使用最新的Treck堆栈版本（6.0.1.67或更高版本）。现在的主要安全挑战是如何让如此多的企业尽快修复漏洞。除了ICS CERT，CERTCC和JPCERT / CC的建议之外，英特尔和惠普也发布了警报。

JSOF分析师称：

Knudsen补充说，这属于供应链问题，因此很多受影响的产品应该能够进行自我更新，但是在IoT和工业控制领域，并非总是如此。

对于无法安装补丁程序的用户，CERT / CC和CISA ICS-CERT建议：

用户还可以采取措施阻止异常IP流量，采用抢占式流量过滤，通过安全的递归服务器或DNS检查防火墙对DNS进行标准化，或提供具有DHCP侦听等功能的DHCP / DHCPv6安全性。

研究人员总结说：

Synopsys的高级安全策略师Jonathan Knudsen指出：

最后，让人担忧的是，存在漏洞的软件库不仅由设备供应商直接使用，而且还集成到大量其他软件套件中，这意味着许多公司甚至都不知道他们正在使用存在漏洞的代码。