Treckin TCP/IP-toteutuksesta on löydetty lukuisia haavoittuvuuksia
Treckin erityisesti sulautettujen järjestelmien käyttöön suunnatusta TCP/IP-toteutuksesta on löydetty 19 eri haavoittuvuutta. Vakavimmat haavoittuvuudet on luokiteltu kriittisiksi ja ne mahdollistavat haavoittuvan laitteen haltuunoton. Useat valmistajat käyttävät kyseistä toteutusta omissa tuotteissaan. Haavoittuvuudet vaikuttavat arvioiden mukaan maailmanlaajuisesti satoihin miljooniin laitteisiin eri toimialoilla. Treck on tiedotteensa mukaan korjannut haavoittuvuudet tuoreimmassa TCP/IP-toteutuksessaan.
Haavoittuvuusjoukon löysi JSOF-niminen tietoturvatutkijoiden joukko, joka antoi löytyneelle 19:n haavoittuvuuden joukolle nimen "Ripple20" kuvatakseen pienehköstä keskeisestä komponentista löytyneen haavoittuvuuden vaikutusten leviämistä laajalle eri valmistajien tuotteisiin ja niiden muodostamiin toimitusketjuihin eri toimialoilla. Vaikka Treckin TCP/IP-toteutuksesta on tiedotteen perusteella julkaistu korjattu versio, kestänee sen käyttöönotto eri valmistajien tuotteissa vielä pitkään. Useat valmistajat ovat selvittäneet ja selvittävät parhaillaan haavoittuvuuksien vaikutusta omiin tuotteisiinsa. CERT/CC:n tiedotteesta löytyy ajankohtainen tilannetieto haavoittuvuuksien vaikutuksista eri valmistajan tuotteisiin ja ohjaus mahdollisiin valmistajan antamiin ohjeisiin, sekä tarkempia ohjeita mahdollisista rajoitustoimista. Haavoittuvuudet vaikuttavat todennäköisesti myös erilaisiin teollisuusautomaatio- ja lääkintälaitteisiin. Lisätietoja ICS-CERT:n tiedotteesta.
Haavoittuvuuden kohde
- Treck TCP/IP-toteutus - versiota 6.0.1.66 aiemmat versiot
- Eri valmistajien Treck TCP/IP-toteutusta käyttävät tuotteet, katso tarkempi listaus CERT/CC:n ja ICS-CERT:n tiedotteista
- Päivitys 4.8.2020: Treck TCP/IP-toteutus saatetaan tuntea myös muilla nimillä kuten: Kasago TCP/IP, ELMIC, Net+ OS, Quadnet, GHNET v2, Kwiknet, ja AMX, jotka ovat myös haavoittuvia. Tarkista ajantasainen lista CERT/CC:n ja ICS-CERT:n sivuilta.
Mistä on kysymys?
- Valmistajan ohjeet - seuraa valmistajan ohjeita haavoittuvan tuotteen päivittämiseksi tai rajoittavien toimenpiteiden tekemistä varten. Ole tarvittaessa suoraan yhteydessä tuotteen valmistajaan.
- Tarkempia rajoituskeinoja löytyy CERT/CC:n haavoittuvuustiedotteesta
Mitä voin tehdä?
https://treck.com/vulnerability-response-information/
https://www.us-cert.gov/ics/advisories/icsa-20-168-01
https://kb.cert.org/vuls/id/257161
https://www.jsof-tech.com/ripple20/
Päivitys 4.8.2020:
https://www.tenable.com/blog/ripple20-more-vulnerable-devices-discovered-including-new-vendors