TCP/IP 软件库Ripple20缝隙公告
颁布功夫 2020-06-180x00 缝隙概述
以色列网络安全公司JSOF的钻研人员在Treck，，Inc.开发的TCP/IP软件库中发现了19个0day缝隙，，这一系列缝隙统称为“Ripple20”。全球数亿台（甚至更多）IoT设备可能会受到远程攻击。
0x01 缝隙详情
Ripple20影响了来自宽泛领域的关键物联网设备，，涉及了众多供给商。受影响的供给商领域很广，，蕴含HP、、、Schneider Electric、、、Intel、、、Rockwell Automation、、、Caterpillar、、、Baxter以及很多其他在医疗、、、运输、、、工业节制方面的重要国际供给商、、、企业、、、能源（石油/天然气）、、、电信、、、零售和贸易以及其他行业。
19个缝隙都是内存败坏问题，，源于使用分歧和谈（蕴含IPv4，，ICMPv4，，IPv6，，IPv6OverIPv4，，TCP，，UDP，，ARP，，DHCP，，DNS或以太网链路层）在网络上发送的数据包的处置谬误。
其中蕴含四个严重缝隙：：有两个缝隙CVSS评分10分，，CVE-2020-11896可能导致远程执行代码，，CVE-2020-11897可能导致越界写入。其他两个缝隙的CVSS评分别离为9和9.1，，CVE-2020-11901可能导致远程执行代码，，CVE-2020-11898可能导致泄露敏感信息。
而其他15个缝隙的严重水平分歧，，CVSS评分从3.1到8.2，，具体信息如下：：
|
CVE ID |
缝隙描述 |
修复版本 |
|
CVE-2020-11896 |
在处置由未经授权的网络攻击者发送的数据包时，，对IPv4 / UDP组件中的长度参数不一致的处置不当。该缝隙可能导致远程执行代码。 |
6.0.1.66 (release 30/03/2020) |
|
CVE-2020-11897 |
在处置未经授权的网络攻击者发送的数据包时，，对IPv6组件中的长度参数不一致的处置不当。该缝隙可能导致越界写入。 |
5.0.1.35 (release 04/06/2009) |
|
CVE-2020-11901 |
处置未经授权的网络攻击者发送的数据包时，，DNS解析器组件中的输入验证不正确。该缝隙可能导致远程执行代码。 |
6.0.1.66 (release 03/03/2020) |
|
CVE-2020-11898 |
处置未经授权的网络攻击者发送的数据包时，，对IPv4 / ICMPv4组件中的长度参数不一致的处置不当。该缝隙可能导致敏感信息露出。 |
6.0.1.66 (release 03/03/2020) |
|
CVE-2020-11900 |
处置网络攻击者发送的数据包时，，IPv4隧道组件中可能存在双重开释。该缝隙可能导致Use After Free。 |
6.0.1.41 (release 10/15/2014) |
|
CVE-2020-11902 |
处置未经授权的网络攻击者发送的数据包时，，IPv6OverIPv4隧道组件中的输入验证不正确。该缝隙可能导致越界读取。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11904 |
处置未经授权的网络攻击者发送的数据包时，，内存分配组件中可能存在整数溢出。该缝隙可能导致越界写入。 |
6.0.1.66 (release 03/03/2020) |
|
CVE-2020-11899 |
处置未经授权的网络攻击者发送的数据包时，，IPv6组件中的输入验证不正确。该缝隙可能导致越界读取或回绝服务。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11903 |
处置未经授权的网络攻击者发送的数据包时，，DHCP组件中存在越界读取问题。该缝隙可能导致敏感信息泄露。 |
6.0.1.28 (release 10/10/12) |
|
CVE-2020-11905 |
处置未经授权的网络攻击者发送的数据包时，，DHCPv6组件中存在越界读取问题。该缝隙可能导致敏感信息泄露。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11906 |
在处置未经授权用户发送的数据包时，，以太网链路层组件中输入验证不正确。该缝隙可能导致整数溢出。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11907 |
处置未经授权的网络攻击者发送的数据包时，，TCP组件中对参数长度不一致的处置不当。该缝隙可能导致整数溢出。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11909 |
处置未经授权的网络攻击者发送的数据包时，，IPv4组件中的输入验证不正确。该缝隙可能导致整数溢出。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11910 |
处置未经授权的网络攻击者发送的数据包时，，ICMPv4组件中的输入验证不正确。该缝隙可能导致越界读取。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11911 |
处置未经授权的网络攻击者发送的数据包时，，ICMPv4组件中的接见节制不正确。该缝隙可能导致关键资源的权限分配谬误。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11912 |
处置未经授权的网络攻击者发送的数据包时，，TCP组件中的输入验证不正确。该缝隙可能导致越界读取。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11913 |
处置未经授权的网络攻击者发送的数据包时，，IPv6组件中的输入验证不正确。该缝隙可能导致越界读取。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11914 |
处置未经授权的网络攻击者发送的数据包时，，ARP组件中的输入验证不正确。该缝隙可能导致越界读取。 |
6.0.1.66 (release 03/03/20) |
|
CVE-2020-11908 |
处置未经授权的网络攻击者发送的数据包时，，DHCP组件中的Null Termination不正确。该缝隙可能导致敏感信息泄露。 |
4.7.1.27 (release 11/08/07) |
JSOF已与多家组织合作，，协调缝隙披露和修补工作，，蕴含CERT / CC，，CISA，，FDA，，国度CERT，，受影响的供给商和其他网络安全公司。
到目前为止，，已经确认来自11个供给商的产品易受攻击，，涉及打印机、、、UPS系统、、、网络设备、、、IP摄像机、、、视频会议系统、、、楼宇自动化设备和ICS设备等。但不止于此，，钻研人员以为这些缝隙可能会影响来自100多家供给商的数亿台设备。
0x02 措置建议
仍在使用设备时，，Ripple20组成重大风险。潜在的风险场景蕴含：：
? 若是面向互联网，，则来自网络外部的攻击者将节制网络中的设备；；；
? 已经设法渗入到网络的攻击者能够使用库缝隙来针对网络中的特定设备；；；
? 攻击者能够广播可能同时收受网络中所有受影响设备的攻击；；；
? 攻击者可能利用受影响的设备暗藏在内网中；；；
? 复杂的攻击者可能会从网络天堑外部对网络内的设备进行攻击，，从而绕过任何NAT配置。这能够通过执行MITM攻击或dns缓存中毒来实现；；；
? 在某些情况下，，攻击者可能可能通过响应脱离网络天堑的数据包，，绕过NAT，，从网络外部执行攻击；；；
? 在所有情况下，，攻击者都能够远程节制指标设备，，而无需用户过问。
JSOF建议采取措施以最小化或减轻设备开发的风险。设备供给商将选取与网络运营商分歧的步骤。通常，，我们建议执行以下步骤：：
? 所有组织在部署防御措施之前都必须进行全面的风险评估。
? 建议部署防御措施。
? 设备供给商的缓解措施：：
1. 确定您是否使用了易受攻击的Treck仓库；；；
2. 联系Treck相识风险；；；
3. 更新到最新的Treck仓库版本（6.0.1.67或更高版本）；；；
4. 若是无法更新，，请思考禁用易受攻击的职能。
? 对运营商和网络的缓解：：（基于CERT/CC和CISA ICS-CERT征询）
1. 将所有设备更新到最新版本；；；
2. 若是无法更新设备，，建议执行以下步骤：：
1) 最大限度地削减嵌入式和关键设备的网络露出，，并确保无法从Internet接见；；；
2) 定位防火墙防护的OT网络和设备，，并将其与业务网络隔离；；；
3) 仅启用安全的远程接见步骤，，建议使用虚构专用网络（VPN）。
3. 阻止异常IP流量；；；
4. 通过深度数据包查抄来阻止网络攻击，，以降低Treck嵌入式启用TCP/ IP的设备的风险。
抢占式流量过滤是一种有效的技术，，能够适本地利用于您的网络环境。过滤选项蕴含：：
? 若是您的环境不支持，，则规范化或阻止IP段；；；
? 若是不必要，，请禁用或阻止IP隧道（IPv6-in-IPv4或IP-in-IP隧道）；；；
? 阻止IP源路由以及所有不赞成使用IPv6的职能，，例如路由标头VU＃267289；；；
? 强制执行TCP查抄，，回绝体式谬误的TCP数据包；；；
? 阻止未使用的ICMP节制新闻，，例如MTU更新和地址掩码更新；；；
? 通过安全的递归服务器或DNS查抄防火墙规范DNS；；；
? 提供DHCP/DHCPv6安全性，，并拥有DHCP监听等职能；；；
? 若是未在互换基础架构中使用，，请禁用/阻止IPv6多播职能；；；
? 在能够使用静态IP的处所禁用DHCP；；；
? 使用网络IDS和IPS署名；；；
? 若是可用，，请划分网络。
0x03 有关新闻
https://www.zdnet.com/article/ripple20-vulnerabilities-will-haunt-the-iot-landscape-for-years-to-come/#ftag=RSSbaffb68
0x04 参考链接
https://www.jsof-tech.com/ripple20/
0x05 功夫线
2020-06-16 JSOF披露缝隙
2020-06-17 VSRC颁布缝隙公告
京公网安备11010802024551号