Kriittisiä haavoittuvuuksia FreeRTOS-käyttöjärjestelmissä

Haavoittuvaa FreeRTOS-käyttöjärjestelmän TCP/IP-toteutusta (Freetos+TCP) käyttää ilmainen Amazon FreeRTOS (Ulkoinen linkki). Kaupallisella puolella WITTENSTEIN high integrity systems (Ulkoinen linkki) -yhtiön ylläpitämien SafeRTOS (Ulkoinen linkki) sekä OpenRTOS (Ulkoinen linkki) -käyttöjärjestelmien käyttämä WHIS Connect (Ulkoinen linkki) TCP/IP -komponentti on myös haavoittuva. Julkisuudessa esiintyneiden tietojen mukaan näitä käyttöjärjestelmiä hyödynnetään yleisesti mm. kulutuselektroniikassa, IoT-laitteissa, lääkinnällisissä laitteissa, ilmailussa ja autoteollisuudessa.

Haavoittuvuus on korjattu elokuussa julkaistussa Amazon FreeRTOS versiossa 1.32. WHIS-yhtiön SafeRTOS ja OpenRTOS -käyttöjärjestelmissä haavoittuvuus on korjattu TCP/IP -komponentin versiossa OpenRTOS TCP/IP v 2.0.1. Yhtiön tiedotteen mukaan asiakkaat jo ovat saaneet tai tulevat saamaan päivitetyn version käyttöönsä lähitulevaisuudessa.

Suosittelemme käymään omat tuotteenne läpi ja päivittämään FreeRTOS-käyttöjärjestelmän uusimpaan versioon. Jos päivittäminen ei ole mahdollista, suosittelemme ottamaan käyttöön muita suojautumismenetelmiä kuten verkkoliikenteen rajoittamista haavoittuvuuksien hyväksikäytön estämiseksi.

Toistaiseksi Kyberturvallisuuskeskuksen tiedossa ei ole, että haavoittuvuuksia olisi pyritty käyttämään hyväksi tai että niihin löytyisi valmiita hyödyntämismenetelmiä. Haavoittuvuuden yksityskohdat tullaan kuitenkin julkaisemaan haavoittuvuuden löytäjien toimesta tämän hetkisen tiedon valossa marraskuun puolivälissä. Tämän jälkeen haavoittuvuuden hyödyntäminen on huomattavasti todennäköisempää.