Ripple20 Exploits: 19 Kritieke Kwetsbaarheden Die IoT/OT Apparaten Wereldwijd Bedreigen

Cybersecurity-onderzoekers van JSOF hebben een uitgebreide lijst van 19 kritieke kwetsbaarheden gepubliceerd, collectief bekend als Ripple20, die de Treck TCP/IP-stack als doel hebben. Deze stack is ingebouwd in miljoenen apparaten over healthcare, transport, productie, telecom en energie-sectoren, wat betekent dat de potentiële impact een enorme reeks kritieke infrastructuren beslaat.

Ripple20 spiegelt de 2019 Urgent/11 kwetsbaarheden die Interpeak's TCP/IP-stack beïnvloedden. Net als Urgent/11, stellen de nieuwe issues remote code execution en denial-of-service (DoS) aanvallen toe. Grote vendors—waaronder HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar en Baxter— hebben al blootstelling aan deze zwaktes bevestigd.

Terwijl Cisco's industriële IoT-portfolio, zoals Cyber Vision en het ISA3000-apparaat, niet beïnvloed wordt door Ripple20, erkent Cisco dat een subset van zijn producten kwetsbaar kan zijn. Het advisorie van het bedrijf—beschikbaar hier—biedt gedetailleerde begeleiding. Cisco's Cyber Vision, gecombineerd met Talos-gegenereerde Snort-handtekeningen, kan Ripple20-dreigingen in uw netwerk detecteren en helpen remedieren.

Treck, opgericht in 1997, levert geoptimaliseerde protocol-stacks voor realtime embedded systemen. De stack wordt als broncode gedistribueerd, wat vendors in staat stelt om protocol-lagen te selecteren en aan te passen aan geheugen-beperkte IoT-apparaten. Deze flexibiliteit kan echter de aanwezigheid van Treck-componenten in eindproducten verduisteren, wat kwetsbaarheidsidentificatie bemoeilijkt, vooral na corporate overnames.

Historisch collaboreerde Treck met het Japanse bedrijf Elmic System (nu Zuken Elmic), wat parallelle TCP/IP-stacks produceerde voor de VS en Aziatische markten. Verschillende Ripple20-kwetsbaarheden beïnvloeden ook de Zuken Elmic-stack.

Nu Handelen: Ripple20's Hoogste-Risico Flaws Adresseren

Onder de 19 issues zijn er vier gecategoriseerd als kritiek (CVSS >9). Deze vormen de grootste dreiging, wat aanvallers in staat stelt om willekeurige code uit te voeren, DoS-aanvallen te lanceren of gevoelige data te exfiltreren. De meest severe, CVE-2020-11901, kan getriggerd worden door een crafted DNS-response op een apparaataanvraag, wat leidt tot remote code execution. Omdat DNS-verkeer typisch het netwerk verlaat, kunnen aanvallers het relatief gemakkelijk intercepten, en de exploit-pakketten voldoen aan standaard RFC's, wat firewall-detectie uitdaagt.

Voor een volledige lijst van kwetsbaarheden en technische details, bezoek de JSOF-website hier.

Ripple20 Detecteren in Uw IoT/OT-omgeving

JSOF schat dat miljarden apparaten beïnvloed kunnen zijn, aangezien veel vendors delen van de Treck-stack inbedden. Het CISA Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) heeft een evoluerende lijst van geïmpacteerd vendors gepubliceerd hier. Terwijl vendor-adviezen blijven opduiken, kunnen proactieve stappen helpen risico's te identificeren en te mitigeren.

Cisco Cyber Vision mapt uw industriële netwerk automatisch, bouwt een gedetailleerde asset-inventaris en markeert bekende kwetsbaarheden—inclusief Ripple20. De kennisbank wordt regelmatig geüpdatet en is gratis voor alle Cyber Vision-klanten. We raden aan de nieuwste versie hier te downloaden als u dat nog niet heeft gedaan.

Gegeven de aard van Ripple20 en de uitdagingen van het patchen van legacy-apparaten, moet u ook complementaire verdedigingsmaatregelen overwegen.

Directe Beschermende Acties

Implementeer intrusion detection systems (IDS) die Cisco Talos Snort-regels benutten om exploit-pogingen te vlaggen. Cisco Cyber Vision kan deze regels integreren, terwijl het ISA3000-apparaat IDS plus realtime blokkeer-capaciteiten biedt in een robuust, on-site formaat.

De ISA3000 excelleert in netwerksegmentatie, wat apparaten die niet direct moeten communiceren isoleert, wat potentiële inbraken bevat.

JSOF raadt additionele mitigaties aan die met de ISA3000 afgedwongen kunnen worden, zoals het blokkeren van IP-fragmentatie, IP-in-IP-tunneling, malformed TCP-pakketten, ongebruikte ICMP-berichten, en het beperken van DHCP of andere onnodige protocollen.

Voor meer informatie over het beveiligen van uw industriële netwerk, verken de IoT Security Hub of neem contact op met Cisco om op maat gemaakte oplossingen voor uw IoT/OT-omgeving te bespreken.