Kritiska sårbarheter i VxWorks (uppdaterad)

Säkerhetsföretaget Armis har upptäckt 11 sårbarheter i VxWorks, varav 6 kritiska [1].

De 11 sårbarheterna som har hittats finns i TCP/IP (IPnet) nätverksstack i VxWorks RTOS, vilket är den del som hanterar enhetens förmåga att ansluta till internet eller till andra enheter i ett lokalt nätverk. Få känner dock till att VxWorks används i över två miljarder enheter däribland industriella styr- och kontrollsystem och medicinsk utrustning, med också tex. routrar, skrivare, brandväggar påverkas. Där har bland annat Sonicwall [2], Xerox [3], Dräger [5], Belden [6], ABB [7], Siemens [8], Philips [12], Schneider Electric [13] och Bosch [14] har gått ut med egna rekommendationer.

Alla versioner sedan 6.5 påverkas av sårbarheterna som finns i VxWorks TCP/IP-stack.
Den senaste versionen, VxWorks 7 som släpptes den 19 juli innehåller korrigeringar för alla upptäckta sårbarheter. Sårbarheterna gäller inte för versionerna VxWorks 653 och VxWorks Cert Edition som är utvecklade för säkerhetscertifiering vilka används inom vissa samhällsviktiga sektorer, till exempel transportsektorn.

Sex av sårbarheterna klassas som kritiska och dessa gör det möjligt för en angripare att utföra fjärrexekvering av godtycklig kod utan autentisering på målsystemet.
Resterande sårbarheter klassificeras som informationsläckage, logiska brister eller funktionsförlust och att systemen inte är tillgängligt för användarna.

Enligt Armis forskningsteam, möjliggör dessa sårbarheter att angripare kan ta över enheter utan att användarinteraktion krävs. Till och med kan säkerhetsenheter till brandväggar och NAT-lösningar kringgås. Därmed kan dessa sårbarheter användas till att sprida kod i och inom nätverk, vilket är jämförbart med sårbarheten som möjliggjorde spridning av WannaCry [4].

En utförlig genomgång av sårbarheterna finns i Armis faktablad [10].

Sårbara system

* Alla tidigare supporterade versioner av VxWorks (6.9.4.11 och tidigare, Vx7 SR540, Vx7 SR610).
* Tidigare versioner av VxWorks från 6.5 och uppåt.
* Alla versioner av den utgångna/osupporterade  produkten Advanced Networking Technology (ANT).
* IPnet som används som TCP/IP nätverksstack (innan 2006).
* VxWorks bootrom nätverksstack.

Rekommendation

CERT-SE rekommenderar att om möjligt snarast uppdatera sårbara produkter samt utföra säkerhetshöjande åtgärder.

• Wind River har släppt ny version av realtidsopertivsystemet (VxWorks 7 SR620) som innehåller patchar för dessa sårbarheter. Om möjligt, uppgradera snarast till senaste versionen av VxWorks [8].
• Segmentera nätverket och se till att konfigurera branväggarna att endast tillåta legitim trafik mellan segmanten.
• Minimera exponering för alla SCADA/ICS-system och se till att de inte är åtkomliga från internet.
• Inventera SCADA/ICS-system i nätverket och isolera dessa i separata nätverkssegment från klient- och servernät.
• Om fjärradministration är nödvändigt, använd säkra metoder, till exempel Virtuella Privata Nätverk (VPN).

Uppdatering 2019-08-05: Tre olika strategier att skydda VxWorks-baserade produkter finns beskrivna av Armis [11]. Samt fler tillverkare tillagda listan över tillverkare med egna rekommendationer.

Källor

[1] https://armis.com/urgent11/
[2] https://www.sonicwall.com/support/product-notification/?sol_id=190717234810906
[3] https://security.business.xerox.com/en-us/
[4] https://go.armis.com/urgent11
[5] https://static.draeger.com/security/
[6] https://www.belden.com/support/security-assurance
[7] https://new.abb.com/about/technology/cyber-security/alerts-and-notifications
[8] https://cert-portal.siemens.com/productcert/pdf/ssa-632562.pdf
[9] https://www.windriver.com/security/announcements/tcp-ip-network-stack-ipnet-urgent11/
[10] https://go.armis.com/hubfs/White-papers/Urgent11%20Technical%20White%20Paper.pdf
[11] https://armis.com/how-to-protect-against-urgent-11/
[12] https://www.usa.philips.com/healthcare/about/customer-support/product-security
[13] https://www.schneider-electric.com/en/download/document/SESB-2019-214-01/
[14] https://psirt.bosch.com/Advisory/BOSCH-SA-761722.html