安基網 首頁 資訊 安全報 查看內容

影響數億物聯網設備,TCP/IP 軟件庫曝Ripple20漏洞

2020-7-1 00:46| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 近日,國外網絡安全公司研究人員在Treck,Inc.開發的TCP/IP軟件庫中發現了19個0day漏洞,其中包含多個遠程代碼執行漏洞,統稱為“Ripple20”。由于TCP/IP軟件庫應用廣泛,該漏洞的影響在整個供應鏈行業中產生連鎖反應,漏洞的利用風險及破壞性被擴大,影響高達數億的物聯網設備。深信服全線產品均使用標 ...

近日,國外網絡安全公司研究人員在Treck,Inc.開發的TCP/IP軟件庫中發現了19個0day漏洞,其中包含多個遠程代碼執行漏洞,統稱為“Ripple20”。由于TCP/IP軟件庫應用廣泛,該漏洞的影響在整個供應鏈行業中產生連鎖反應,漏洞的利用風險及破壞性被擴大,影響高達數億的物聯網設備。

深信服全線產品均使用標準的Linux內核提供的TCP/IP協議棧和深信服自研協議棧,確認不受此次漏洞影響。

▲Ripple20影響眾多關鍵物聯網設備

漏洞分析

1. 漏洞描述

Ripple20是在Treck TCP / IP堆棧上發現的19個漏洞的集合。Ripple20漏洞中有四個被評為嚴重,CVSS得分超過9,可實現遠程代碼執行。關鍵漏洞之一是DNS協議中的漏洞,可能由攻擊者通過互聯網(甚至在未連接到互聯網的設備上)從網絡邊界進行攻擊。其他15個漏洞的嚴重性程度不同,CVSS評分從3.1到8.2不等,其影響從拒絕服務到潛在的遠程代碼執行。

由于供應鏈效應,Ripple20漏洞在影響的廣度和深度方面都是獨特的,它允許攻擊者繞過NAT和防火墻,在不需要用戶交互的情況下控制設備。這是因為漏洞位于低級TCP / IP堆棧中,并且對于許多漏洞而言,發送的數據包非常類似有效數據包,或者在某些情況下是完全有效的數據包,從而使攻擊作為合法流量通過。

2. 嚴重漏洞說明

▲嚴重漏洞說明

3. 潛在風險

Ripple20對仍在使用的設備構成重大風險。潛在的風險包括:

  • 如果受影響設備面向互聯網開放,攻擊者可從網絡外部控制網絡內的設備。
  • 已經滲透到網絡中的攻擊者可以使用庫漏洞來攻擊網絡中的特定設備。
  • 攻擊者可以通過廣播攻擊網絡中所有受影響設備。
  • 攻擊者可能會從網絡邊界之外對網絡內的設備執行攻擊,從而繞過NAT配置。這可以通過執行MITM攻擊或DNS緩存中毒來實現。
  • 在某些情況下,攻擊者可以通過響應離開網絡邊界的數據包,繞過NAT,從網絡外部執行攻擊。

漏洞影響范圍

Ripple20影響眾多關鍵物聯網設備,涉及醫療、運輸、工業控制、企業、能源(石油/天然氣)、通信、零售等眾多行業的供應商。

受到影響或可能受到影響的供應商超過73家:

▲供應商清單(更新時間:2020年6月29日)

而深信服全線產品均使用標準的Linux內核提供的TCP/IP協議棧和深信服自研協議棧,確認不受此次漏洞影響。

緩解措施

建議受影響的用戶采取以下措施以最小化或減輕漏洞可能帶來的風險:

1、最好的緩解措施是更新修補所有設備的程序版本。

2、如果無法更新設備,建議執行以下步驟:

  • 盡量收斂物聯網設備的網絡暴露面,確保無法從Internet直接訪問設備。
  • 如需通過互聯網訪問設備,啟用VPN加密網絡等安全的遠程訪問方法。

參考鏈接:

https://www.jsof-tech.com/ripple20/

https://www.zdnet.com/article/ripple20-vulnerabilities-will-haunt-the-iot-landscape-for-years-to-come/#ftag=RSSbaffb68



小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/a6844103157488812556/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
创业如何赚钱 德国赛车网站 新疆体彩11选5技巧 快乐10分玩法介绍 广西快3大小专家预测 十大可靠的理财平台 甘肃11选5走势任5冷号 天津时时彩历史开奖 北京福彩快3开奖结果 广西快3投注技巧 股票融资融券的门槛 上海快3开奖视频 江西11选5开奖 玩极速快三有什么规律 彩票技巧规律和口诀时时彩 贵州十一选五app 湖北体彩11选5遗漏top10