工业控制设备中嵌入式TCP/IP协议栈严重安全漏洞分析

网络安全研究人员周三披露了 14 个影响常用 TCP/IP 堆栈的漏洞，这些漏洞影响了不少于 200 家供应商制造的数百万运营技术 (OT) 设备中使用的常用 TCP/IP 堆栈，这些设备部署在制造工厂、发电、水处理和关键基础设施领域。

这些缺点统称为“INFRA:HALT”，针对的是 NicheStack，可能使攻击者能够实现远程代码执行、拒绝服务、信息泄漏、TCP 欺骗，甚至 DNS 缓存中毒。

NicheStack（又名 InterNiche 堆栈）是用于嵌入式系统的闭源 TCP/IP 堆栈，旨在提供互联网连接工业设备，并被西门子、艾默生、霍尼韦尔、三菱电机、罗克韦尔自动化和施耐德电气在其可编程逻辑控制器 (PLC) 和其他产品中。

JFrog和Forescout 的研究人员在今天发表的一份联合报告中说：“攻击者可能会破坏建筑物的 HVAC 系统或接管用于制造和其他关键基础设施的控制器。” “成功的攻击可能导致 OT 和 ICS 设备离线并被劫持。被劫持的设备可以将恶意软件传播到它们在网络上进行通信的地方。”

4.3 版之前的所有 NicheStack 版本都容易受到 INFRA:HALT 的攻击，截至 2021 年 3 月，大约有 6,400 台 OT 设备暴露在网上并连接到互联网，其中大部分位于加拿大、美国、西班牙、瑞典和意大利。

14个漏洞列表如下——

• CVE-2020-25928（CVSS 分数：9.8）-解析 DNS 响应时发生越界读/写，导致远程代码执行
• CVE-2021-31226（CVSS 分数：9.1）- 解析 HTTP post 请求时的堆缓冲区溢出缺陷，导致远程代码执行
• CVE-2020-25927（CVSS 分数：8.2）-解析 DNS 响应时越界读取，导致拒绝服务
• CVE-2020-25767（CVSS 评分：7.5）-解析 DNS 域名时越界读取，导致拒绝服务和信息泄露
• CVE-2021-31227（CVSS 分数：7.5）- 解析 HTTP post 请求时的堆缓冲区溢出缺陷，导致拒绝服务
• CVE-2021-31400（CVSS 评分：7.5）-TCP 带外紧急数据处理功能中的无限循环场景，导致拒绝服务
• CVE-2021-31401（CVSS 分数：7.5）- TCP 标头处理代码中的整数溢出缺陷
• CVE-2020-35683（CVSS 评分：7.5）-解析 ICMP 数据包时越界读取，导致拒绝服务
• CVE-2020-35684（CVSS 评分：7.5）-解析 TCP 数据包时越界读取，导致拒绝服务
• CVE-2020-35685（CVSS 分数：7.5）- TCP 连接中可预测的初始序列号 (ISN)，导致TCP 欺骗
• CVE-2021-27565（CVSS 评分：7.5）- 收到未知 HTTP 请求时的拒绝服务条件
• CVE-2021-36762（CVSS 分数：7.5）- TFTP 数据包处理功能中的越界读取，导致拒绝服务
• CVE-2020-25926（CVSS 评分：4.0）-DNS 客户端没有设置足够随机的事务 ID，导致缓存中毒
• CVE-2021-31228 (CVSS score: 4.0) – 可以预测DNS查询的源端口发送伪造的DNS响应包，导致缓存中毒

这些披露标志着第六次在支持数百万联网设备的协议栈中发现安全漏洞。这也是作为名为 Project Memoria 的系统研究的一部分而被发现的第四组错误，该研究旨在研究广泛使用的 TCP/IP 堆栈的安全性，这些堆栈被各种供应商纳入其固件中以提供互联网和网络连接功能。

维护 C 库的 HCC Embedded 已发布软件补丁来解决这些问题。“针对 INFRA:HALT 的完全保护需要修补易受攻击的设备，但由于供应链物流和 OT 设备的关键性质，这具有挑战性，”研究人员说。

作为缓解措施，Forescout 发布了一个开源脚本，该脚本使用主动指纹识别来检测运行 NicheStack 的设备。还建议实施分段控制，监控恶意数据包的所有网络流量，以降低易受攻击设备的风险。