グレート・グローバル・パッチ：VxWorksの欠陥により数百万台のデバイスが危険にさらされる

一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。

そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。

もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。

セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。

パニックになる時間ですか？

セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。

Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。

まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。

緊急/11の脆弱性の説明

この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。

ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。

私たちはそれについて何ができるでしょうか？

さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。

長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。

すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。

自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。

• DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
  メモリ破損-ヒープオーバーフロー
• 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
  トランスポート層保護が不十分-機密情報の無防備な転送
• ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
  ビジネスロジックの欠陥
• IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
  メモリ破損-NULL デリファレンス
• IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
  情報漏えい-機密データ漏えい