Siirry pääsisältöön
Kyberturvallisuuskeskus
Ilmoita tietoturvaloukkauksesta
Ilmoita tietoturvaloukkauksesta
Ilmoita tietoturvaloukkauksesta

Treckin TCP/IP-toteutuksesta on löydetty lukuisia haavoittuvuuksia

17. kesäkuuta 2020 klo 15.17, päivitetty 5. elokuuta 2020 klo 13.05

Treckin erityisesti sulautettujen järjestelmien käyttöön suunnatusta TCP/IP-toteutuksesta on löydetty 19 eri haavoittuvuutta. Vakavimmat haavoittuvuudet on luokiteltu kriittisiksi ja ne mahdollistavat haavoittuvan laitteen haltuunoton. Useat valmistajat käyttävät kyseistä toteutusta omissa tuotteissaan. Haavoittuvuudet vaikuttavat arvioiden mukaan maailmanlaajuisesti satoihin miljooniin laitteisiin eri toimialoilla. Treck on tiedotteensa mukaan korjannut haavoittuvuudet tuoreimmassa TCP/IP-toteutuksessaan.

Haavoittuvuusjoukon löysi JSOF-niminen tietoturvatutkijoiden joukko, joka antoi löytyneelle 19:n haavoittuvuuden joukolle nimen "Ripple20 Ulkoinen verkkopalvelu." kuvatakseen pienehköstä keskeisestä komponentista löytyneen haavoittuvuuden vaikutusten leviämistä laajalle eri valmistajien tuotteisiin ja niiden muodostamiin toimitusketjuihin eri toimialoilla. Vaikka Treckin TCP/IP-toteutuksesta on tiedotteen Ulkoinen verkkopalvelu.perusteella julkaistu korjattu versio, kestänee sen käyttöönotto eri valmistajien tuotteissa vielä pitkään. Useat valmistajat ovat selvittäneet ja selvittävät parhaillaan haavoittuvuuksien vaikutusta omiin tuotteisiinsa. CERT/CC:n tiedotteesta Ulkoinen verkkopalvelu. löytyy ajankohtainen tilannetieto haavoittuvuuksien vaikutuksista eri valmistajan tuotteisiin ja ohjaus mahdollisiin valmistajan antamiin ohjeisiin, sekä tarkempia ohjeita mahdollisista rajoitustoimista. Haavoittuvuudet vaikuttavat todennäköisesti myös erilaisiin teollisuusautomaatio- ja lääkintälaitteisiin. Lisätietoja ICS-CERT:n tiedotteesta Ulkoinen verkkopalvelu..

Haavoittuvuuden kohde

Mistä on kysymys?

  • Valmistajan ohjeet - seuraa valmistajan ohjeita haavoittuvan tuotteen päivittämiseksi tai rajoittavien toimenpiteiden tekemistä varten. Ole tarvittaessa suoraan yhteydessä tuotteen valmistajaan.
  • Tarkempia rajoituskeinoja löytyy CERT/CC:n Ulkoinen verkkopalvelu. haavoittuvuustiedotteesta

Mitä voin tehdä?

https://treck.com/vulnerability-response-information/ Ulkoinen verkkopalvelu.

https://www.us-cert.gov/ics/advisories/icsa-20-168-01 Ulkoinen verkkopalvelu.

https://kb.cert.org/vuls/id/257161 Ulkoinen verkkopalvelu.

https://www.jsof-tech.com/ripple20/ Ulkoinen verkkopalvelu.

Päivitys 4.8.2020:
https://www.tenable.com/blog/ripple20-more-vulnerable-devices-discovered-including-new-vendors Ulkoinen verkkopalvelu.

CVE-2020-11896 Ulkoinen verkkopalvelu.

CVE-2020-11897 Ulkoinen verkkopalvelu.

CVE-2020-11898 Ulkoinen verkkopalvelu.

CVE-2020-11899 Ulkoinen verkkopalvelu.

CVE-2020-11900 Ulkoinen verkkopalvelu.

CVE-2020-11901 Ulkoinen verkkopalvelu.

CVE-2020-11902 Ulkoinen verkkopalvelu.

CVE-2020-11903 Ulkoinen verkkopalvelu.

CVE-2020-11904 Ulkoinen verkkopalvelu.

CVE-2020-11905 Ulkoinen verkkopalvelu.

CVE-2020-11906 Ulkoinen verkkopalvelu.

CVE-2020-11907 Ulkoinen verkkopalvelu.

CVE-2020-11908 Ulkoinen verkkopalvelu.

CVE-2020-11909 Ulkoinen verkkopalvelu.

CVE-2020-11910 Ulkoinen verkkopalvelu.

CVE-2020-11911 Ulkoinen verkkopalvelu.

CVE-2020-11912 Ulkoinen verkkopalvelu.

CVE-2020-11913 Ulkoinen verkkopalvelu.

CVE-2020-11914 Ulkoinen verkkopalvelu.

 

Sulautetut järjestelmät

Sulautetun järjestelmän muodostavat laite ja sen sisältämä ohjelmisto yhdessä. Kuluttajien käyttämistä laitteista varsin monia voidaan pitää sulautettuina järjestelminä. Esimerkki tällaisesta on digitaalisten tv-lähetysten katselemiseen tarvittava digiboksi.

Etäkäyttö

Etäkäyttöisesti tehtävän hyökkäyksen voi tehdä tietoverkkoyhteyden tai vastaavan kautta ilman että pääsee itse kohteena olevan järjestelmän luokse.

Ilman käyttäjän toimia

Ilman käyttäjän toimia tapahtuva hyökkäys kohdistuu suoraan haavoittuvuuteen ilman että järjestelmän käyttäjältä vaaditaan mitään toimia hyökkäyksen onnistumiseksi. Käyttäjän ei esimerkiksi tarvitse selailla www-sivuja tai käynnistää ohjelmaa tietokoneessa, vaan hyökkäys onnistuu ilman käyttäjän apua.

Komentojen mielivaltainen suorittaminen

Komentojen mielivaltaisen suorittamisen mahdollistavaa haavoittuvuutta on pidettävä vakavana, sillä se tarkoittaa sitä, että hyväksikäyttäjä voi käyttää kohteena olevaa järjestelmää aivan kuin sen tavallinen käyttäjäkin. Se voi johtaa myös siihen, että järjestelmään murtautunut hyökkääjä voi ladata verkon kautta järjestelmään omia ohjelmiaan suoritettavaksi.

Haavoittuvuuden havainnollistava esimerkkikoodi

Proof of concept.

Korjaava ohjelmistopäivitys

Ohjelmisto- tai laitevalmistaja julkaisee tavallisesti pian uuden version tai osittaisen päivityksen ohjelmistoon tai käyttöjärjestelmään sen jälkeen kun haavoittuvuus on tullut julki. Päivitys voi olla saatavilla samalla kun haavoittuvuuskin julkaistaan, mutta usein sitä joudutaan odottelemaan jonkin aikaa.

Ongelman rajoittaminen

Vaikka varsinaista korjausta haavoittuvuuteen ei aina ole saatavilla, sen vaikutuksia voidaan useimmiten rajoittaa esimerkiksi pidättäytymällä tilapäisesti jonkin ominaisuuden käytöstä tai rajoittamalla verkkoliikennettä kohdejärjestelmään sopivasti.

5. elokuuta 2020 klo 13.05 Päivitetty haavoittuvien toteutusten listaa.