搜索

[14449] 2019-08-09_VxWorks面临严重RCE攻击风险

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-08-09_VxWorks面临严重RCE攻击风险 V x W o r k s 面 临 严 重 R C E 攻 击 风 险 K r i s t o n   F r e e B u f   2 0 1 9 - 0 8 - 0 9 概 述 概 述 A r m i s 研 究 团 队 在 研 究 团 队 在 V x W o r k s 中 发 现 了 中 发 现 了 1 1 个 零 日 漏 洞 ， 个 零 日 漏 洞 ， V x W o r k s 可 能 是 使 用 的 最 广 泛 的 操 作 系 统 。 可 能 是 使 用 的 最 广 泛 的 操 作 系 统 。 V x W o r k s 被 超 被 超 过 过 2 0 亿 台 设 备 使 用 ， 包 括 关 键 的 工 业 ， 医 疗 和 企 业 设 备 。 亿 台 设 备 使 用 ， 包 括 关 键 的 工 业 ， 医 疗 和 企 业 设 备 。 被 称 为 “ U R G E N T / 1 1 ” 的 漏 洞 存 在 于 V x W o r k s 的 T C P   /   I P 堆 栈 （ I P n e t ） 中 ， 影 响 自 6 . 5 版 本 以 来 的 所 有 版 本 。 但 不 会 影 响 安 全 认 证 产 品 版 本 - - V x W o r k s   6 5 3 和 V x W o r k s   C e r t   E d i t i o n 。 其 中 六 个 漏 洞 被 归 类 为 关 键 漏 洞 并 可 远 程 执 行 代 码 （ R C E ） 。 其 余 漏 洞 为 拒 绝 服 务 ， 信 息 泄 露 、 逻 辑 缺 陷 。 U R G E N T / 1 1 被 攻 击 会 造 成 很 严 重 影 响 ， 因 为 它 使 攻 击 者 能 够 接 管 用 户 设 备 ， 甚 至 可 以 绕 过 防 火 墙 和 N A T 等 安 全 设 备 。 导 致 攻 击 者 可 以 将 恶 意 软 件 传 播 到 网 络 内 部 中 去 。 这 种 攻 击 威 力 极 大 ， 类 似 于 E t e r n a l B l u e 漏 洞 ， 可 用 于 传 播 W a n n a C r y 恶 意 软 件 。 建 议 运 行 V x W o r k s 设 备 的 制 造 商 检 查 公 司 安 全 中 心 发 布 的 W i n d   R i v e r   S e c u r i t y   A l e r t 中 的 最 新 更 新 ， 并 立 即 对 其 进 行 修 补 。 有 关 U R G E N T / 1 1 漏 洞 的 完 整 技 术 细 节 可 以 在 U R G E N T / 1 1 技 术 白 皮 书 中 找 到 。 V x W o r k s ： 实 时 操 作 系 统 ： 实 时 操 作 系 统 V x W o r k s 是 世 界 上 使 用 最 广 泛 的 实 时 操 作 系 统 （ R T O S ） 。 R T O S 由 需 要 高 精 度 和 可 靠 性 的 设 备 使 用 ， 例 如 关 键 基 础 设 施 ， 网 络 设 备 ， 医 疗 设 备 ， 工 业 系 统 甚 至 航 天 器 。 因 此 ， V x W o r k s 有 非 常 广 泛 的 用 途 ， 从 P L C 到 M R I 机 器 ， 到 防 火 墙 和 打 印 机 ， 再 到 飞 机 ， 火 车 等 等 。 V x W o r k s 设 备 还 包 括 西 门 子 ， A B B ， E m e r s o n   E l e c t r i c ,   R o c k w e l l ， 三 菱 电 子 ， 三 星 ， R i c o h ,   X e r o x ,   N E C 和 A r r i s 等 。 V x W o r k s 于 1 9 8 7 年 首 次 发 布 ， 是 目 前 仍 在 广 泛 使 用 的 最 成 熟 的 操 作 系 统 之 一 ， 由 于 其 运 行 的 设 备 的 性 质 以 及 升 级 困 难 而 维 护 了 大 量 版 本 。 尽 管 是 传 统 的 R T O S ， 但 只 有 少 数 漏 洞 被 发 现 ， 没 有 一 个 像 U R G E N T / 1 1 严 重 。 研 究 表 明 ， V x W o r k s 的 内 部 工 作 方 式 仍 处 于 不 明 确 的 状 态 ， 其 缺 陷 也 是 如 此 ， 导 致 了 严 重 的 U R G E N T / 1 1 漏 洞 。 其 次 ， R T O S 是 由 许 多 关 键 设 备 使 用 ， 使 得 在 其 中 发 现 的 漏 洞 会 更 具 有 影 响 力 。 U R G E N T / 1 1 影 响 影 响 U R G E N T / 1 1 对 目 前 使 用 所 有 V x W o r k s 连 接 的 设 备 构 成 重 大 风 险 。 有 三 种 攻 击 方 案 ， 具 体 取 决 于 网 络 设 备 位 置 和 攻 击 者 位 置 。 攻 击 者 可 以 使 用 U R G E N T / 1 1 来 控 制 位 于 网 络 周 边 或 内 部 的 设 备 。 即 使 是 远 程 登 的 设 备 也 可 受 到 攻 击 并 被 接 管 。 或 者 已 经 渗 透 到 网 络 内 部 的 攻 击 者 可 以 使 用 U R G E N T / 1 1 来 定 位 其 中 特 定 设 备 ， 也 可 以 通 过 广 播 同 时 接 管 网 络 中 所 有 受 影 响 的 V x W o r k s 设 备 。 在 所 有 情 况 下 ， 攻 击 者 都 可 以 远 程 完 全 控 制 目 标 设 备 ， 无 需 用 户 交 互 ， 区 别 仅 在 于 攻 击 者 如 何 到 达 目 标 设 备 。 场 景 场 景 1 — — 攻 击 网 络 防 御 设 备 攻 击 网 络 防 御 设 备
第 一 个 攻 击 情 形 是 攻 击 网 络 边 界 的 V x W o r k s 设 备 ， 例 如 防 火 墙 ， 这 些 设 备 可 以 直 接 从 I n t e r n e t 进 行 攻 击 。 使 用 U R G E N T   /   1 1 漏 洞 ， 攻 击 者 可 以 对 这 些 设 备 直 接 发 起 攻 击 ， 并 对 其 完 全 控 制 ， 然 后 穿 透 到 内 部 网 络 。 根 据 S h o d a n 搜 索 ， 有 超 过 8 0 万 的 S o n i c W a l l 防 火 墙 连 接 到 互 联 网 ， 表 示 这 些 设 备 正 在 防 护 相 似 数 量 的 内 部 网 络 。 使 用 U R G E N T   /   1 1 和 I n t e r n e t 连 接 ， 攻 击 者 可 以 使 用 特 制 的 T C P 数 据 包 发 起 直 接 攻 击 ， 并 立 即 控 制 所 有 防 火 墙 ， 形 成 的 僵 尸 网 络 规 模 几 乎 无 法 衡 量 ， 其 内 部 网 络 也 会 遭 到 破 坏 。 场 景 场 景 2   -   从 网 络 外 部 攻 击 绕 过 安 全 防 护 从 网 络 外 部 攻 击 绕 过 安 全 防 护 第 二 种 攻 击 情 形 会 影 响 任 何 具 有 外 部 网 络 连 接 的 V x W o r k s 设 备 ， 攻 击 者 能 够 接 管 此 类 设 备 ， 无 论 在 网 络 外 围 实 施 任 何 防 火 墙 或 N A T 都 难 以 抵 御 攻 击 。 攻 击 示 例 ： 对 安 全 网 络 （ 例 如 X e r o x 打 印 机 ） 内 连 接 到 云 的 I o T 设 备 进 行 攻 击 。 打 印 机 不 直 接 暴 露 于 I n t e r n e t ， 因 为 它
受 防 火 墙 和 N A T 的 保 护 。 攻 击 者 可 以 拦 截 打 印 机 与 云 的 T C P 连 接 ， 并 触 发 打 印 机 上 的 U R G E N T   /   1 1   R C E 漏 洞 ， 最 终 完 全 控 制 它 。 一 旦 攻 击 者 接 管 了 网 络 中 的 设 备 ， 就 可 以 横 向 扩 散 ， 控 制 其 他 V x W o r k s 设 备 ， 如 下 一 个 攻 击 情 形 所 述 。 场 景 场 景 3   -   从 网 络 内 部 进 行 攻 击 从 网 络 内 部 进 行 攻 击 在 这 种 情 况 下 ， 攻 击 者 已 经 可 控 目 标 网 络 内 的 V x W o r k s 设 备 。 对 网 络 内 其 他 V x W o r k s 设 备 的 攻 击 时 ， 攻 击 者 不 需 要 目 标 设 备 的 任 何 信 息 ， 因 为 U R G E N T   /   1 1 允 许 在 整 个 网 络 中 广 播 恶 意 数 据 包 ， 攻 击 者 可 以 通 过 广 播 数 据 包 攻 击 所 有 存 在 漏 洞 的 设 备 。 攻 击 示 例 ： 医 院 中 的 患 者 监 护 仪 。 它 没 有 连 接 到 互 联 网 ， 但 通 过 渗 透 网 络 ， 攻 击 者 可 以 接 管 它 。 另 一 个 例 子 是 可 编 程 逻 辑 控 制 器 （ P L C ） 。 由 于 p l c 在 受 影 响 的 V x W o r k s 上 运 行 ， 攻 击 者 使 用 U R G E N T   /   1 1 漏 洞 可 以 在 网 络 中 广 播 攻 击 ， 并 有 效 地 控 制 整 个 工 厂 ， 无 需 任 何 前 期 信 息 收 集 工 作 。 技 术 细 节 技 术 细 节 U R G E N T   /   1 1 是 一 组 1 1 个 漏 洞 ， 它 们 会 影 响 V x W o r k s 的 T C P   /   I P 堆 栈 （ I P n e t ） 。 其 中 六 个 漏 洞 被 归 类 为 关 键 漏 洞 并 可 远 程 执 行 代 码 （ R C E ） 。 其 余 漏 洞 分 为 拒 绝 服 务 ， 信 息 泄 露 或 逻 辑 缺 陷 。 由 于 每 个 漏 洞 都 会 影 响 网 络 堆 栈 的 不 同 部 分 ， 因 此 会 影 响 一 组 不 同 的 V x W o r k s 版 本 。 U R G E N T   /   1 1 是 迄 今 为 止 V x W o r k s 中 发 现 的 最 严 重 的 漏 洞 ， 在 其 3 2 年 的 历 史 中 仅 有 1 3 个 C V E 。 U R G E N T   /   1 1 是 一 组 独 特 的 漏 洞 ， 允 许 攻 击 者 绕 过 N A T 和 防 火 墙 ， 并 通 过 未 检 测 到 的 T C P   /   I P 堆 栈 远 程 控 制 设 备 ， 无 需 用 户 交 互 。 如 前 所 述 ， U R G E N T   /   1 1 由 1 1 个 漏 洞 组 成 ， 分 为 两 类 ： 六 个 关 键 漏 洞 ， 允 许 远 程 执 行 代 码 六 个 关 键 漏 洞 ， 允 许 远 程 执 行 代 码 解 析 I P v 4 选 项 时 堆 栈 溢 出 （ C V E - 2 0 1 9 - 1 2 2 5 6 ） 此 漏 洞 可 以 由 发 送 到 目 标 设 备 的 I P 数 据 包 触 发 ， 广 播 或 多 播 数 据 包 也 会 触 发 漏 洞 。 该 漏 洞 在 处 理 I P v 4 标 头 中 的 I P 选 项 时 导 致 堆 栈 溢 出 ， 从 而 可 以 R C E 。 它 不 需 要 在 设 备 上 运 行 任 何 特 定 的 应 用 程 序 或 配 置 。 错 误 处 理 T C P 的 紧 急 指 针 字 段 而 导 致 的 四 个 内 存 损 坏 漏 洞 （ C V E - 2 0 1 9 - 1 2 2 5 5 ， C V E - 2 0 1 9 - 1 2 2 6 0 ， C V E - 2 0 1 9 - 1 2 2 6 1 ， C V E - 2 0 1 9 - 1 2 2 6 3 ） 以 下 漏 洞 都 源 于 错 误 处 理 T C P 的 紧 急 指 针 字 段 ， 该 T C P 字 段 很 少 出 现 在 如 今 的 应 用 程 序 中 。 攻 击 者 可 以 通 过 直 接 连 接 到 目 标 设 备 上 的 开 放 T C P 端 口 ， 或 者 通 过 劫 持 目 标 设 备 的 T C P 连 接 来 触 发 设 备 对 该 字 段 的 错 误 处 理 。 一 旦 触 发 ， 这 些 漏 洞 将 导 致 目 标 设 备 上 的 应 用 程 序 从 系 统 的 r e c v ( ) 函 数 接 收 比 预 期 更 多 的 字 节 ， 从 而 导 致 内 存 损 坏 。 由 于 紧 急 指 针 字 段 是 T C P 的 内 置 功 能 ， 因 此 路 由 器 ， N A T 甚 至 防 火 墙 会 完 整 地 传 输 它 。 即 使 数 据 通 过 多 个 路 由 器 ， N A T 和 防 火 墙 设 备 仍 然 可 被 攻 击 者 劫 持 并 用 于 触 发 漏 洞 。 影 响 不 同 V x W o r k s 版 本 的 四 种 变 体 ： 1 、 T C P 紧 急 指 针   ‘ =   0 ’   导 致 整 数 下 溢 （ C V E - 2 0 1 9 - 1 2 2 5 5 ） ， 影 响 V x W o r k s 版 本 6 . 5 到 6 . 9 . 3 。 2 、 由 于 T C P   A O 选 项 格 式 错 误 （ C V E - 2 0 1 9 - 1 2 2 6 0 ） 导 致 T C P 紧 急 指 针 状 态 混 淆 ， 影 响 V x W o r k s 版 本 6 . 9 . 4 及 更 高 版 本 。 3 、 T C P 由 于 竞 争 条 件 引 起 的 紧 急 指 针 状 态 混 乱 （ C V E - 2 0 1 9 - 1 2 2 6 3 ） ， 影 响 V x W o r k s 版 本 6 . 6 及 更 高 版 本 。 4 、 连 接 到 远 程 主 机 （ C V E - 2 0 1 9 - 1 2 2 6 1 ） 时 T C P 紧 急 指 针 状 态 混 淆 ， 影 响 V x W o r k s 版 本 6 . 7 及 更 高 版 本 。 D H C P   O f f e r   /   A C K 解 析 中 的 堆 溢 出 （ C V E - 2 0 1 9 - 1 2 2 5 7 ） 此 漏 洞 是 易 受 攻 击 的 设 备 分 析 特 定 D H C P 响 应 数 据 包 时 触 发 的 堆 溢 出 漏 洞 。 当 它 尝 试 从 D H C P 服 务 器 获 取 I P 地 址 时 ，
这 些 数 据 包 由 i p d h c p c （ V x W o r k s 的 内 置 D H C P 客 户 端 ） 解 析 。 与 目 标 设 备 位 于 同 一 子 网 中 的 攻 击 者 可 以 等 待 它 发 送 D H C P 请 求 ， 并 使 用 特 制 的 D H C P 响 应 快 速 回 复 。 在 这 种 情 况 下 ， 等 待 来 自 网 络 的 原 始 D H C P 服 务 器 的 响 应 的 目 标 设 备 很 容 易 被 攻 击 者 欺 骗 ， 并 解 析 特 制 的 D H C P 响 应 消 息 ， 导 致 攻 击 者 可 远 程 代 码 执 行 。 此 漏 洞 影 响 V x W o r k s 版 本 从 6 . 5 到 6 . 9 . 3 。 导 致 拒 绝 服 务 ， 信 息 泄 露 或 某 些 逻 辑 缺 陷 的 五 个 漏 洞 导 致 拒 绝 服 务 ， 信 息 泄 露 或 某 些 逻 辑 缺 陷 的 五 个 漏 洞 利 用 格 式 错 误 的 T C P 选 项 进 行 T C P 连 接 D o S （ C V E - 2 0 1 9 - 1 2 2 5 8 ） 此 漏 洞 影 响 V x W o r k s   6 . 5 及 更 高 版 本 ， 并 允 许 对 受 影 响 的 V x W o r k s 设 备 任 何 T C P 连 接 进 行 拒 绝 服 务 攻 击 。 可 以 通 过 使 用 现 有 连 接 的 4 元 组 发 送 包 含 某 些 T C P 选 项 的 特 制 T C P 数 据 包 来 触 发 此 漏 洞 ， 但 不 知 道 该 连 接 的 序 列 号 ， 从 而 导 致 T C P 连 接 断 开 。 处 理 未 经 请 求 的 反 向 A R P 回 复 （ 逻 辑 缺 陷 ） （ C V E - 2 0 1 9 - 1 2 2 6 2 ） 此 漏 洞 是 影 响 V x W o r k s   6 . 5 及 更 高 版 本 的 逻 辑 错 误 ， 可 以 允 许 同 一 子 网 上 的 攻 击 者 通 过 未 经 请 求 的 R A R P 回 复 数 据 包 向 目 标 设 备 添 加 多 个 I P v 4 地 址 。 这 将 破 坏 目 标 设 备 的 路 由 表 ， 可 能 导 致 其 使 用 的 应 用 程 序 拒 绝 服 务 。 多 次 触 发 此 漏 洞 也 会 导 致 内 存 耗 尽 ， 从 而 导 致 目 标 设 备 上 的 其 他 执 行 失 败 。 i p d h c p c   D H C P 客 户 端 分 配 I P v 4 的 逻 辑 缺 陷 （ C V E - 2 0 1 9 - 1 2 2 6 4 ） 此 漏 洞 是 V x W o r k s 内 置 D H C P 客 户 端 （ 如 果 包 含 ） （ i p d h c p c ） 中 的 逻 辑 错 误 ， 该 错 误 会 影 响 V x W o r k s   6 . 5 及 更 高 版 本 。 易 受 攻 击 的 设 备 将 接 受 D H 分 配 给 它 的 任 何 I P v 4 地 址 。 在 I G M P 解 析 中 的 D o S （ C V E - 2 0 1 9 - 1 2 2 5 9 ） 此 漏 洞 是 影 响 V x W o r k s   6 . 5 及 更 高 版 本 的 拒 绝 服 务 漏 洞 ， 可 能 导 致 目 标 设 在 解 析 本 地 子 网 内 的 攻 击 者 发 送 的 未 经 身 份 验 证 的 数 据 包 时 崩 溃 。 I G M P 信 息 泄 漏 （ C V E - 2 0 1 9 - 1 2 2 6 5 ） 此 漏 洞 是 影 响 V x W o r k s 版 本 6 . 9 . 3 及 更 高 版 本 的 信 息 泄 漏 。 可 通 过 上 述 D H C P 客 户 端 漏 洞 （ C V E - 2 0 1 9 - 1 2 2 6 4 ） 实 现 。 要 触 发 此 漏 洞 ， 攻 击 者 可 以 将 分 段 的 I G M P v 3 成 员 资 格 查 询 报 告 发 送 到 目 标 设 备 ， 使 目 标 数 据 包 堆 的 信 息 泄 漏 ， 导 致 I G M P v 3 成 员 身 份 报 告 发 送 回 攻 击 者 。 受 影 响 范 围 受 影 响 范 围 U R G E N T   /   1 1 漏 洞 影 响 自 6 . 5 版 以 来 的 所 有 V x W o r k s 版 本 ， 不 包 括 认 证 产 品 版 本 ， 例 如 V x W o r k s   6 5 3 和 V x W o r k s   C e r t E d i t i o n 。 受 影 响 的 设 备 的 部 分 列 表 包 括 ： S C A D A   d e v i c e s I n d u s t r i a l   c o n t r o l l e r s P a t i e n t   m o n i t o r s M R I   m a c h i n e s F i r e w a l l s V O I P   p h o n e s P r i n t e r s 除 上 述 设 备 外 ， 还 有 大 量 公 开 列 表 可 识 别 哪 些 制 造 商 使 用 V x W o r k s ：
W i n d   R i v e r   C u s t o m e r   P a g e W i k i p e d i a   V x W o r k s   P a g e S l i d e S h a r e O n l i n e   P r e s e n t a t i o n s 医 疗 和 工 业 部 门 可 能 面 临 风 险 医 疗 和 工 业 部 门 可 能 面 临 风 险 由 于 V x W o r k s 常 被 工 业 和 医 疗 行 业 使 用 ， 因 此 它 们 都 处 于 极 其 严 重 的 风 险 之 中 。 受 损 的 工 业 控 制 器 可 能 会 导 致 关 闭 工 厂 ， 而 监 护 仪 受 损 会 对 生 命 造 成 威 胁 。 解 决 方 案 解 决 方 案 V x W o r k s 更 新 更 新 使 用 V x W o r k s 设 备 的 组 织 和 设 备 制 造 商 应 立 即 修 补 受 影 响 的 设 备 。 更 新 和 补 丁 信 息 可 在 公 司 安 全 中 心 发 布 的 W i n d R i v e r   S e c u r i t y   A l e r t 中 找 到 。 防 火 墙 设 置 防 火 墙 设 置 1 、 检 测 对 紧 急 指 针 的 任 何 使 用 。 在 极 少 数 情 况 下 合 法 应 用 程 序 使 用 紧 急 指 针 会 导 致 一 些 误 报 。 2 、 检 测 包 含 S Y N ， U R G 和 F I N 标 志 的 数 据 包 。 这 种 组 合 永 远 不 会 出 现 在 合 法 的 T C P 流 量 中 3 、 检 测 包 含 L S R R 或 S S R R 选 项 的 任 何 I P 数 据 包 。 * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理