WhiteHat News #ID:2018
WhiteHat Support
-
20/03/2017
-
129
-
443 bài viết
Các lỗ hổng Urgent/11 ảnh hưởng đến các hệ điều hành thời gian thực được sử dụng trong thiết bị y tế, công nghiệp
Công ty bảo mật IoT Armis xác nhận rằng các lỗ hổng Urgent/11 không chỉ ảnh hưởng đến VxWorks.
Cuối tháng 7, Armis tiết lộ rằng hệ điều hành VxWorks của Wind River (được sử dụng trên hàng triệu thiết bị) bị ảnh hưởng bởi 11 lỗ hổng, bao gồm các lỗ hổng nghiêm trọng có thể bị khai thác nhằm kiểm soát thiết bị.
Một số nhà cung cấp lớn có sản phẩm sử dụng VxWorks đã đưa ra lời khuyên cho người dùng về ảnh hưởng của các lỗ hổng Urgent/11.
Khi đó, Armis lưu ý rằng các lỗ hổng tồn tại trong ngăn xếp IPnet TCP/IP và các hệ điều hành thời gian thực (RTOS) khác có thể bị ảnh hưởng.
Gần đây, Armis đã tìm thấy thêm 6 RTOS khác sử dụng ngăn xếp IPnet có lỗ hổng, gồm ZebOS của IP Infusion, ITRON của TRON Forum, OSE của ENEA, Nucleus RTOS của Mentor, Integrity của Green Hills và ThreadX của Microsoft.
Nhiều hệ thống nhúng được phát triển dựa trên các RTOS này, bao gồm nhiều thiết bị y tế và công nghiệp.
ENEA cho biết, ngăn xếp IPnet của Interpeak đã không được sử dụng trong các sản phẩm của họ từ năm 2007. Còn theo Green Hills, IPnet bị ảnh hưởng là một tiện ích bổ sung của bên thứ ba, được cung cấp cho Integrity vào khoảng giữa năm 2003 và 2006.
Microsoft cho biết IPnet không phải là thành phần mặc định trên ThreadX RTOS, nhưng một số nhà cung cấp phần cứng có thể đã sử dụng ThreadX với IPnet tùy chỉnh.
TRON tuyên bố họ không xác nhận việc sử dụng bất kỳ ngăn xếp TCP/IP cụ thể nào. Việc đó phụ thuộc vào các nhà phát triển. Còn CISA cho biết các nhà phát triển ZebOS vẫn chưa đưa ra bất kỳ bình luận nào.
Cục quản lý thực phẩm và dược phẩm Hoa Kỳ (FDA) đã ban hành cảnh báo tới các bệnh nhân, nhà cung cấp dịch vụ chăm sóc sức khỏe và nhà sản xuất về những rủi ro do các lỗ hổng Urgent/11 gây ra.
Mặc dù phần mềm IPnet có thể không còn được hỗ trợ bởi nhà cung cấp phần mềm gốc, một số nhà sản xuất vẫn tiếp tục sử dụng phần mềm mà không cần hỗ trợ. Do đó, phần mềm có thể được tích hợp vào các ứng dụng, thiết bị và hệ thống phần mềm khác, được sử dụng trong nhiều thiết bị y tế và công nghiệp hiện nay.
Cuối tháng 7, Armis tiết lộ rằng hệ điều hành VxWorks của Wind River (được sử dụng trên hàng triệu thiết bị) bị ảnh hưởng bởi 11 lỗ hổng, bao gồm các lỗ hổng nghiêm trọng có thể bị khai thác nhằm kiểm soát thiết bị.
Một số nhà cung cấp lớn có sản phẩm sử dụng VxWorks đã đưa ra lời khuyên cho người dùng về ảnh hưởng của các lỗ hổng Urgent/11.
Khi đó, Armis lưu ý rằng các lỗ hổng tồn tại trong ngăn xếp IPnet TCP/IP và các hệ điều hành thời gian thực (RTOS) khác có thể bị ảnh hưởng.
Gần đây, Armis đã tìm thấy thêm 6 RTOS khác sử dụng ngăn xếp IPnet có lỗ hổng, gồm ZebOS của IP Infusion, ITRON của TRON Forum, OSE của ENEA, Nucleus RTOS của Mentor, Integrity của Green Hills và ThreadX của Microsoft.
Nhiều hệ thống nhúng được phát triển dựa trên các RTOS này, bao gồm nhiều thiết bị y tế và công nghiệp.
ENEA cho biết, ngăn xếp IPnet của Interpeak đã không được sử dụng trong các sản phẩm của họ từ năm 2007. Còn theo Green Hills, IPnet bị ảnh hưởng là một tiện ích bổ sung của bên thứ ba, được cung cấp cho Integrity vào khoảng giữa năm 2003 và 2006.
Microsoft cho biết IPnet không phải là thành phần mặc định trên ThreadX RTOS, nhưng một số nhà cung cấp phần cứng có thể đã sử dụng ThreadX với IPnet tùy chỉnh.
TRON tuyên bố họ không xác nhận việc sử dụng bất kỳ ngăn xếp TCP/IP cụ thể nào. Việc đó phụ thuộc vào các nhà phát triển. Còn CISA cho biết các nhà phát triển ZebOS vẫn chưa đưa ra bất kỳ bình luận nào.
Cục quản lý thực phẩm và dược phẩm Hoa Kỳ (FDA) đã ban hành cảnh báo tới các bệnh nhân, nhà cung cấp dịch vụ chăm sóc sức khỏe và nhà sản xuất về những rủi ro do các lỗ hổng Urgent/11 gây ra.
Mặc dù phần mềm IPnet có thể không còn được hỗ trợ bởi nhà cung cấp phần mềm gốc, một số nhà sản xuất vẫn tiếp tục sử dụng phần mềm mà không cần hỗ trợ. Do đó, phần mềm có thể được tích hợp vào các ứng dụng, thiết bị và hệ thống phần mềm khác, được sử dụng trong nhiều thiết bị y tế và công nghiệp hiện nay.
Theo securityweek