Ripple20 TCP/IP 重大漏洞 影響製造、醫療及一般企業用數千萬台 IoT 裝置
一組統稱為 Ripple20 的重大網路安全漏洞上周被安全廠商揭露,風險最高者可能導致 IoT 裝置被駭客接管,引發業界震驚。此外這批漏洞修補起來也困難重重。
以色列安全廠商 JSOF 首先於去年 9 月發現 Ripple20 漏洞,它影響了美國一家總部位於俄亥俄州的小公司 Treck 開發的專屬輕量 TCP/IP 函式庫,這家廠商已經釋出修補程式。
Ripple20 漏洞影響層面巨大
安全廠商發現,包括 4 個重大漏洞,其中 2 個是風險評分最高(10 分)的遠端程式碼執行(RCE)漏洞 (CVE-2020-11896 及 CVE-2020-1189)、1 個 9.1 的 RCE 漏洞 CVE-2020-11901),及 9.0 的資訊洩露漏洞 (CVE-2020-11898),分別可能導致遠端程式碼執行,造成資料竊取、惡意接管等。
安全廠商公佈受影響的 66 家廠商包括 Baxter、Digi International、HPE、HP、Intel、Max、Maxlinear、Sandia National Labs、HCL Tech,有些廠商如 Caterpillar、Rockwell Automation、Schneider Electric 等則已經釋出修補程式。
但是問題卻未結束。這款問題 TCP/IP 函式庫用於數量眾多的連網裝置,包括醫療裝置、工控系統、印表機,想修補漏洞是一件大工程。JSOF 指出,受影響的裝置「恐達數千萬或上億」台。
連檢測漏洞也不容易
許多裝置幾乎不可能遠端接收修補程式,安全公司 ReFirm Labs 共同創辦人 Terry Dunlap 指出,尤其是舊式網路設備,想要修補難上加難。有許多裝置是安裝在陰隌的機箱中,幾年都沒人去碰它,當你碰上了 TCP/IP 堆疊的漏洞,別忘了它可這些裝置的網路基礎核心。
Forrester Research 資深分析師 Brian Kime 也說,就算你只是要檢查網路設備有沒有受到漏洞影響都很難,因為這些漏洞並未外顯等待外部網路連線,因而也不容易被漏洞掃瞄產品發現。他們唯有深入供應鏈,詢問廠商和外包商他們的裝置是否用到了有漏洞的 TCP/IP 函式庫,普通情況下他們並未公開這些資訊,找廠商網站也找不到。
受影響的產品括及供應鏈每一層的數十家公司,因此企業從確認有無被 Ripple20 影響到修補,就必須一家一家進行。
所幸目前沒有跡象顯示這些漏洞遭到利用。此外,Dunlap 表示,一些網路設備從網際網路無法直接連上,因此除非像 Stuxnet 的攻擊,否則還是會循內部網路、以感染惡意程式的 USB 隨身碟、內部員工誤中網釣信件攻擊散佈攻擊程式可能性較高。
如果你是廠商原廠或 OEM 廠,Dunlap 建議未來最好還是別再用專屬的 TCP/IP 函式庫,改用開原碼函式庫吧。