Ripple20 Exploits: 19 kritische Vulnerabilitäten bedrohen IoT/OT Geräte weltweit

Cybersecurity Forscher von JSOF haben eine umfassende Liste von 19 kritischen Vulnerabilitäten veröffentlicht, kollektiv als Ripple20 bekannt, die den Treck TCP/IP Stack targetieren. Dieser Stack ist in Millionen Geräten über Healthcare, Transportation, Manufacturing, Telecoms und Energy Sektoren eingebettet, was bedeutet, dass der potenzielle Impact ein riesiges Array kritischer Infrastrukturen spannt.

Ripple20 spiegelt die 2019 Urgent/11 Flaws wider, die Interpeaks TCP/IP Stack betrafen. Wie Urgent/11 ermöglichen die neuen Issues Remote Code Execution und Denial-of-Service (DoS) Attacken. Major Vendors – einschließlich HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar und Baxter – haben bereits Exposition gegenüber diesen Schwachstellen bestätigt.

Während Ciscos Industrial IoT Portfolio, wie Cyber Vision und das ISA3000 Appliance, nicht von Ripple20 betroffen ist, erkennt Cisco an, dass ein Subset seiner Produkte vulnerable sein könnte. Das Advisory des Unternehmens – verfügbar hier – bietet detaillierte Guidance. Ciscos Cyber Vision, gekoppelt mit Talos-generierten Snort Signaturen, kann Ripple20 Bedrohungen in Ihrem Netzwerk detektieren und bei Remediation helfen.

Treck, gegründet 1997, liefert optimierte Protocol Stacks für Real-Time Embedded Systems. Der Stack wird als Source Code verteilt, erlaubt Vendors, Protocol Layer für memory-constrained IoT Devices zu cherry-picken und zu tailoren. Diese Flexibilität kann jedoch die Präsenz von Treck Komponenten in Finalprodukten verschleiern, was Vulnerability Identification erschwert, besonders nach Corporate Acquisitions.

Historisch kollaborierte Treck mit der japanischen Firma Elmic System (nun Zuken Elmic), produzierte parallele TCP/IP Stacks für US und Asian Märkte. Mehrere Ripple20 Vulnerabilitäten betreffen auch den Zuken Elmic Stack.

Jetzt handeln: Ripple20s höchste-Risiko-Flaws adressieren

Unter den 19 Issues sind vier als kritisch geratet (CVSS >9). Diese bergen die größte Bedrohung, ermöglichen Angreifern arbitrary Code Execution, DoS Attacken oder Exfiltration sensibler Daten. Die schwerwiegendste, CVE-2020-11901, kann durch eine crafted DNS Response auf ein Device Request getriggert werden, führt zu Remote Code Execution. Da DNS Traffic typischerweise das Netzwerk verlässt, können Angreifer ihn relativ leicht abfangen, und Exploit Packets comply mit Standard RFCs, was Firewall Detection herausfordernd macht.

Für die vollständige Liste der Vulnerabilitäten und technische Details, besuchen Sie die JSOF Website hier.

Ripple20 in Ihrer IoT/OT Umgebung detektieren

JSOF schätzt, dass Milliarden Geräte betroffen sein könnten, da viele Vendors Portionen des Treck Stacks einbetten. Das CISA Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) hat eine sich entwickelnde Liste betroffener Vendors hier veröffentlicht. Während Vendor Advisories weiterhin auftauchen, können proaktive Schritte helfen, Risiken zu identifizieren und zu mindern.

Cisco Cyber Vision mapped automatisch Ihr industrielles Netzwerk, baut ein detailliertes Asset Inventory auf und highlightet bekannte Vulnerabilitäten – inklusive Ripple20. Die Knowledge Base wird regelmäßig geupdated und ist kostenlos für alle Cyber Vision Kunden. Wir empfehlen, die neueste Version hier herunterzuladen, falls noch nicht geschehen.

Angesichts der Natur von Ripple20 und den Herausforderungen beim Patchen von Legacy Devices sollten Sie auch komplementäre defensive Maßnahmen in Betracht ziehen.

Sofortige Schutzmaßnahmen

Intrusion Detection Systems (IDS) deployen, die Cisco Talos Snort Rules nutzen, um Exploitation Attempts zu flaggen. Cisco Cyber Vision kann diese Rules integrieren, während das ISA3000 Appliance IDS plus Real-Time Blocking Capabilities in einem rugged, On-Site Format bietet.

Das ISA3000 exceliert bei Netzwerksegmentierung, isoliert Devices, die nicht direkt kommunizieren sollten, und enthält damit potenzielle Breaches.

JSOF empfiehlt zusätzliche Mitigations, die mit dem ISA3000 enforced werden können, wie Blocking von IP Fragmentation, IP-in-IP Tunneling, malformed TCP Packets, unused ICMP Messages, und Restriktion von DHCP oder anderen unnötigen Protokollen.

Für mehr Informationen zur Absicherung Ihres industriellen Netzwerks, erkunden Sie den IoT Security Hub oder kontaktieren Sie Cisco für maßgeschneiderte Lösungen für Ihre IoT/OT Umgebung.