Amnesia: 33 errores representan 33 vulnerabilidades descubiertas en cuatro pilas de TCP / IP de código abierto utilizadas en una amplia gama de productos inteligentes. Las pilas vulnerables son  uIP, FNET, picoTCP y Nut / Net se descubrieron mediante técnicas de fuzzing.

Amnesia: 33 vulnerabilidades afectan a millones de dispositivos inteligentes e industriales

Los investigadores de seguridad han identificado 33 fallas de seguridad en cuatro pilas TCP / IP de código abierto utilizadas en una amplia gama de productos inteligentes.

Los investigadores de seguridad han revelado 33 fallos de seguridad en cuatro bibliotecas TCP / IP de código abierto que se utilizan actualmente dentro del firmware de productos de más de 150 proveedores.

Los investigadores de Forescout estiman que millones de dispositivos de grado industrial y de consumo se ven afectados actualmente por las fallas de seguridad que descubrieron y que llamaron Amnesia: 33.

Los sistemas afectados incluyen cualquier cosa que pueda imaginar, incluidos teléfonos inteligentes, consolas de juegos, sensores, placas de sistema en un chip (SOC), sistemas HVAC, impresoras, enrutadores, conmutadores, cámaras IP, quioscos de autopago, rastreadores de activos RFID, lectores de tarjetas, sistemas de alimentación ininterrumpida y todo tipo de equipos industriales.

Aquí están las listas CVE de los errores descubiertos en las cuatro pilas TCP / IP 

• Vulnerables: uIP, FNET, picoTCP y Nut / Net
• No vulnerable: lwIP, uC / TCP-IP y CycloneTCP

El amplio impacto de las vulnerabilidades de Amensia: 33 se puede explicar por la ubicación de las fallas de seguridad, es decir, en cuatro bibliotecas de código abierto ampliamente utilizadas: 

1. uIP
2. FNET
3. picoTCP
4. Nut/Net

Durante las últimas dos décadas, los fabricantes de dispositivos a menudo han agregado una de estas cuatro bibliotecas al firmware de sus dispositivos para permitir que sus productos admitan TCP / IP, los protocolos de comunicaciones de red más utilizados en la actualidad.

Debido a las funciones cruciales que brindan a un dispositivo, Forescout dice que si se explotan, las 33 vulnerabilidades permitirían a un atacante realizar una amplia gama de ataques, como:

• Ejecución de código remota (RCE) para tomar el control de un dispositivo de destino.
• Denegación de servicio (DoS) para afectar la funcionalidad y afectar las operaciones comerciales.
• Fuga de información (infoleak) para adquirir información potencialmente sensible.
• Ataques de envenenamiento de caché de DNS para dirigir un dispositivo a un sitio web malicioso.

Sin embargo, explotar cualquier dispositivo que use uno de los errores de Amnesia: 33 depende de qué dispositivos usa una empresa y dónde se implementan en su red.

Por ejemplo, por su naturaleza, los enrutadores se pueden explotar de forma remota, ya que generalmente están conectados a la interfaz externa de una empresa. Otros dispositivos, como sensores y equipos industriales, pueden requerir que los atacantes obtengan primero acceso a la red interna de una empresa.

Proyecto Memoria: De Ripple20 a Amnesia: 30

Forescout dijo que encontró Amensia: 33 errores como parte de un proyecto de investigación que comenzaron a principios de este año, llamado Proyecto Memoria.

Inspirado por el descubrimiento de las vulnerabilidades de Ripple20 en la pila Treck TCP / IP el año pasado, el Proyecto Memoria de Forescout analizó la seguridad de otras siete pilas TCP / IP en busca de vulnerabilidades peligrosas similares.

"Para realizar nuestro análisis, utilizamos una combinación de fuzzing automatizado (instrumentación de código de caja blanca basada en libFuzzer), análisis manual guiado por búsqueda de variantes utilizando el motor de consulta de código Joern y un corpus preexistente de vulnerabilidades [...] y revisión manual del código ", dijo hoy el equipo de investigación.

"En nuestro estudio, no encontramos ninguna vulnerabilidad en las pilas lwIP, uC / TCP-IP y CycloneTCP.

"Aunque esto no implica que no haya fallas en estas pilas, observamos que las tres pilas tienen una verificación de límites muy consistente y generalmente no dependen del análisis de escopeta, uno de los anti-patrones más comunes que identificamos", agregaron los investigadores.

Pero mientras que los errores de Amnesia: 33 fueron fáciles de descubrir y parchear, el verdadero trabajo solo ahora comienza. Al igual que en el caso de las vulnerabilidades de Ripple20, los proveedores de dispositivos deberán tomar las pilas TCP / IP actualizadas e integrarlas como actualizaciones de firmware para sus productos.

Si bien en algunos casos, como teléfonos inteligentes o equipos de red, esto puede ser una tarea fácil debido a los mecanismos de actualización por aire incluidos con algunos de estos productos, muchos otros dispositivos vulnerables ni siquiera se envían con la capacidad de actualizar el firmware. lo que significa que es muy probable que algunos equipos sigan siendo vulnerables durante el resto de su vida útil.

En estos casos, las empresas deberán reemplazar los dispositivos o implementar contramedidas para evitar la explotación de cualquiera de las vulnerabilidades de Amnesia: 33.

Sin embargo, Forescout dice que incluso detectar estos errores es una tarea monumental, principalmente porque muchos dispositivos en estos días no vienen con una lista de materiales de software, y las empresas ni siquiera sabrán que están ejecutando sistemas que usan uno de los cuatro TCP / Pilas de IP vulnerables a Amensia: 33 ataques.

En otras palabras, el ecosistema de los dispositivos inteligentes sigue siendo un desastre y probablemente seguirá siendo un desastre de seguridad en los próximos años.

• PDF con todos los detalles técnicos y CVE
• PDF con resumen ejecutivo