Lỗ hổng trong VxWorks RTOS cho phép kẻ tấn công kiểm soát các mạng nội bộ

0
16

        Các thiết bị kết nối Internet được cung cấp bởi VxWorks 6.5 và mới hơn bị ảnh hưởng bởi lỗ hổng cho phép kẻ tấn công từ xa kiểm soát hoàn toàn các thiết bị được nhắm mục tiêu.
    

        
                                                                                    
                        

                 [1945901] [[ [19459008[ [1945901] ]
    

     IoT đang thúc đẩy chuyển đổi kỹ thuật số kinh doanh như thế nào
     Khi IoT tiếp tục thay đổi cách thức kinh doanh, Dan Patterson và Mitchell Klein của Dan Patterson giải thích cách tối ưu hóa việc sử dụng IoT và thiết bị thông minh của công ty bạn
    

    Theo nghiên cứu từ công ty bảo mật Armis, được công bố hôm thứ Hai.

Tổng cộng, Armis đã phát hiện ra 11 lỗ hổng bảo mật, bao gồm sáu lỗ hổng nghiêm trọng, mang nhãn hiệu chung URGENT / 11. Các lỗ hổng ảnh hưởng đến VxWorks 6.5 trở lên, với "mọi thiết bị được kết nối sử dụng VxWorks bao gồm ngăn xếp IPnet đều bị ảnh hưởng bởi ít nhất một trong các lỗ hổng được phát hiện", theo Armis. Tuy nhiên, điều này không ảnh hưởng đến các phiên bản được thiết kế để chứng nhận, bao gồm VxWorks 653 và VxWorks Cert Edition. Wind River Systems, nhà cung cấp VxWorks, đã cung cấp các bản vá cho các lỗ hổng.

Wind River và Armis đã tìm thấy "không có dấu hiệu nào cho thấy lỗ hổng URGENT / 11 đã bị khai thác."

VxWorks được sử dụng cho các hệ thống quan trọng cho doanh nghiệp, bao gồm SCADA, thang máy và bộ điều khiển công nghiệp, cũng như các thiết bị chăm sóc sức khỏe bao gồm máy theo dõi bệnh nhân và máy quét MRI. Nó cũng được sử dụng cho các thiết bị mạng, bao gồm thường thấy ở chu vi của các mạng, như tường lửa, bộ định tuyến và modem vệ tinh, cũng như điện thoại và máy in VOIP. Các lỗ hổng có khả năng cho phép tin tặc truy cập mạng doanh nghiệp nội bộ.

Đáng chú ý, phần lớn thiết bị mạng thương mại của Huawei được biết là chạy trên VxWorks, cũng như các hệ thống Drobo DAS / NAS và Airport Extreme (hiện đã ngừng sản xuất) của Apple.

XEM: Khởi đầu sự nghiệp trong lĩnh vực an ninh mạng: Hướng dẫn của người trong cuộc (PDF miễn phí) (Công nghệ công nghệ) Hệ điều hành được sử dụng rộng rãi mà bạn có thể chưa bao giờ nghe nói đến, "Ben Seri, phó chủ tịch nghiên cứu của Armis, cho biết trong một thông cáo báo chí. "Một loạt các ngành công nghiệp dựa vào VxWorks để vận hành các thiết bị quan trọng của họ trong hoạt động hàng ngày của họ từ chăm sóc sức khỏe đến sản xuất và thậm chí cả các doanh nghiệp bảo mật. Đây là lý do tại sao URGENT / 11 rất quan trọng. và chăm sóc sức khỏe là một mối quan tâm lớn. "

Theo Armis, lỗ hổng URGENT / 11 là "lỗ hổng nghiêm trọng nhất được tìm thấy trong VxWorks cho đến nay", mặc dù công ty cũng lưu ý rằng "Trong lịch sử 32 năm của mình, chỉ có 13 CVE được liệt kê bởi MITER như ảnh hưởng đến VxWorks. " Tương tự, ngăn xếp IPnet đã được tích hợp do kết quả của việc mua lại Interpeak của Wind River năm 2006, trước đó, ngăn xếp IPnet được cấp phép cho các nhà cung cấp RTOS cạnh tranh. Tiềm năng tồn tại đối với các hệ thống nhúng cũ dễ bị tổn thương trong khi trong các trường hợp thông thường, các thiết bị từ lâu này sẽ đạt đến Tận thế, đây không phải là sự đảm bảo cho các hệ thống nhúng.

Tương tự như vậy, Armis tuyên bố rằng rủi ro tiềm ẩn từ URGENT / 11 có thể "gây ra sự gián đoạn trên quy mô tương tự như kết quả từ lỗ hổng EternalBlue."

Các nhà cung cấp hệ thống sử dụng VxWorks nên xem thông tin về lỗ hổng trên trang web của Wind River để biết hướng dẫn vá, tương tự, người dùng các sản phẩm được cung cấp bởi VxWorks nên kiểm tra với nhà cung cấp của họ để cập nhật firmware.

Để biết thêm, hãy xem "Cách WannaCry vẫn đang phát động 3.500 cuộc tấn công thành công mỗi giờ" và "83% đã trải qua một cuộc tấn công DDoS trong hai năm qua, khảo sát tìm thấy" trên TechRepublic.

                                                                                

                                                

Cũng xem

 istock-958122884-1.jpg "width =" 770 "/> </span><figcaption>
<p>
                                            NicoElNino, Getty Images / iStockphoto<br />
                                        </p>
</figcaption></figure>
<div class=