Давняя уязвимость TCP/IP все еще актуальна для миллионов IoT-устройств

Давняя уязвимость TCP/IP все еще актуальна для миллионов IoT-устройств

Давняя уязвимость TCP/IP все еще актуальна для миллионов IoT-устройств

Новый этап реализации проекта Memoria компании Forescout выявил еще девять уязвимых стеков TCP/IP, на которые полагаются миллионы IoT-устройств. Новые находки, объединенные под именем Number:Jack, связаны с фундаментальным аспектом TCP — нумерацией передаваемых сегментов данных.

Согласно стандарту RFC 793, установка нового TCP-соединения предполагает создание и обмен значениями ISN (Initial Sequence Number) — начальными порядковыми номерами сегментов, гарантирующими доставку данных. Эти ISN по идее должны генерироваться случайным образом, чтобы уберечь передаваемые данные от манипуляций и подмены.

Практика показала, что из-за недочетов в реализации стека TCP/IP номера ISN зачастую получаются не совсем случайными, и злоумышленник может без особого труда их угадать и подменить, чтобы вызвать отказ в обслуживании, организовать перехват нешифрованного трафика, перенаправить жертву на вредоносный сайт или напрямую загрузить на ее компьютер зловреда.

О возможности атаки с предсказанием порядковых номеров ISN эксперты предупреждали еще в 90-х годах прошлого столетия, и такие уязвимости уже почти полностью истребили в Windows, Linux и других широко используемых ИТ-продуктах. К сожалению, в мире интернета вещей подобные бреши до сих пор нередки и часто передаются по наследству, позволяя злоумышленникам обойти аутентификацию и получить дополнительный доступ к атакуемой сети.

По этой причине эксперты Forescout решили запустить проект Memoria, предметом которого является исследование защищенности стеков TCP/IP, используемых в современных встраиваемых и IoT-устройствах. На первом этапе им удалось выявить 33 уязвимости в четырех широко используемых TCP/IP-библиотеках; те находки получили известность как Amnesia:33.

Для второго этапа Project Memoria исследователи расширили контрольную выборку, добавив еще несколько популярных стеков. Проверка различных реализаций генератора ISN на соответствие нормам дала следующие результаты:

  • CVE-2020-27213 в Nut/Net 5.1;
  • CVE-2020-27630 в uC/TCP-IP 3.6.0;
  • CVE-2020-27631 в CycloneTCP 1.9.6;
  • CVE-2020-27632 в NDKTCPIP 2.25;
  • CVE-2020-27633 в FNET 4.6.3;
  • CVE-2020-27634 в uIP 1.0, затрагивает Contiki-OS 3.0 и Contiki-NG 4.5;
  • CVE-2020-27635 в PicoTCP 1.7.0 и PicoTCP-NG.

Все найденные уязвимости оценены в 7,5 балла по шкале CVSS. Вендоры и кураторы проектов поставлены в известность и уже приняли соответствующие меры — кроме одного. Разработчики uIP никак не отреагировали на уведомление от Forescout, так что их планы неизвестны.

Устройства, использующие названные TCP/IP-стеки, эксперты выявлять не стали, чтобы не давать подсказку злоумышленникам. Они только отметили, что такие подробности могли быть опубликованы для некоторых медицинских аппаратов, систем мониторинга работы газотурбинных установок и систем хранения данных.

Сотрудники против: 52% компаний буксуют с переходом на тонкие клиенты

Переход на тонкие клиенты в российских компаниях чаще всего тормозит вовсе не техника, а люди. По данным опроса среди зрителей и участников эфира AM Live «Тонкий клиент: инструмент создания цифровых корпоративных рабочих мест», 52% компаний не могут полноценно перейти на такую модель из-за сопротивления сотрудников, привыкших к обычным компьютерам.

На этом фоне особенно показательно выглядит другая цифра: только 25% компаний уже используют удалённые рабочие места через десктопы или тонкие клиенты.

Иначе говоря, три четверти по-прежнему опираются либо на офисные компьютеры, либо на добросовестность сотрудников, которые работают с собственных устройств. А это, как отмечали участники дискуссии, оставляет бизнес в довольно уязвимом положении: данные и учётные записи оказываются размазаны по множеству конечных точек, и каждая из них потенциально может стать входом в корпоративную сеть.

Идея тонких клиентов как раз в обратном: рабочее место у сотрудника есть, но сами данные и основные процессы остаются внутри защищённой инфраструктуры компании. Директор департамента управления продуктовым портфелем Getmobit Василий Шубин по этому поводу высказался довольно жёстко: когда сотрудникам разрешают работать с личных устройств, компания фактически перекладывает риск на конечного пользователя.

Впрочем, дело не только в привычках. Второй по популярности барьер — поддержка периферии, на неё пожаловались 46% опрошенных. Дальше причины идут уже с заметным отрывом: 32% считают проблемой высокую стоимость внедрения, 28% говорят о несовместимости приложений, 26% — о нехватке экспертизы у ИТ-команд, ещё 22% упомянули ограничения сети и каналов связи.

Некоторых экспертов такой высокий результат у пункта с периферией удивил, но в «Лаборатории Касперского» ничего необычного в этом не увидели. Старший менеджер по продукту Kaspersky Thin Client Михаил Левинский объяснил, что вопрос здесь упирается не только в сами устройства, но и в зрелость поддержки: у кого-то может быть старый монитор или нестандартная периферия, и важно, насколько быстро вендор готов на такие запросы реагировать. При этом, по его словам, сами операционные системы, конечно, должны нормально поддерживать проброс периферийных устройств.

Похожую мысль озвучили и в Uveon — Облачные технологии. Там обратили внимание, что часть проблем, которые пользователи приписывают именно тонким клиентам, на деле относится шире — к тому, как в компании вообще выстроена инфраструктура рабочих мест. Иными словами, не всё здесь упирается в «железку»: многое решается на уровне софта и архитектуры.

При этом в обсуждении прозвучала и осторожно позитивная нота. Генеральный директор «АМ Медиа» Илья Шабанов заметил, что заметно сократилась доля тех, кто считает главным препятствием именно стоимость внедрения. Это может говорить о том, что рынок таких решений в России постепенно взрослеет, а сами технологии перестают восприниматься как что-то слишком дорогое и экзотическое.

RSS: Новости на портале Anti-Malware.ru