Treckin TCP/IP-toteutuksesta on löydetty lukuisia haavoittuvuuksia

Haavoittuvuus20/2020

Julkaistu 17.06.2020

Päivitetty 05.08.2020 13:05

Treckin erityisesti sulautettujen järjestelmien käyttöön suunnatusta TCP/IP-toteutuksesta on löydetty 19 eri haavoittuvuutta. Vakavimmat haavoittuvuudet on luokiteltu kriittisiksi ja ne mahdollistavat haavoittuvan laitteen haltuunoton. Useat valmistajat käyttävät kyseistä toteutusta omissa tuotteissaan. Haavoittuvuudet vaikuttavat arvioiden mukaan maailmanlaajuisesti satoihin miljooniin laitteisiin eri toimialoilla. Treck on tiedotteensa mukaan korjannut haavoittuvuudet tuoreimmassa TCP/IP-toteutuksessaan.

Haavoittuvuusjoukon löysi JSOF-niminen tietoturvatutkijoiden joukko, joka antoi löytyneelle 19:n haavoittuvuuden joukolle nimen "Ripple20 (Ulkoinen linkki)" kuvatakseen pienehköstä keskeisestä komponentista löytyneen haavoittuvuuden vaikutusten leviämistä laajalle eri valmistajien tuotteisiin ja niiden muodostamiin toimitusketjuihin eri toimialoilla. Vaikka Treckin TCP/IP-toteutuksesta on tiedotteen (Ulkoinen linkki)perusteella julkaistu korjattu versio, kestänee sen käyttöönotto eri valmistajien tuotteissa vielä pitkään. Useat valmistajat ovat selvittäneet ja selvittävät parhaillaan haavoittuvuuksien vaikutusta omiin tuotteisiinsa. CERT/CC:n tiedotteesta (Ulkoinen linkki) löytyy ajankohtainen tilannetieto haavoittuvuuksien vaikutuksista eri valmistajan tuotteisiin ja ohjaus mahdollisiin valmistajan antamiin ohjeisiin, sekä tarkempia ohjeita mahdollisista rajoitustoimista. Haavoittuvuudet vaikuttavat todennäköisesti myös erilaisiin teollisuusautomaatio- ja lääkintälaitteisiin. Lisätietoja ICS-CERT:n tiedotteesta (Ulkoinen linkki).

Kohde

Sulautetut järjestelmät

Hyökkäystapa

Etäkäyttö
Ilman käyttäjän toimia

Vaikutukset

Komentojen mielivaltainen suorittaminen

Hyväksikäyttömenetelmä tiedossa

Haavoittuvuuden havainnollistava esimerkkikoodi

Ratkaisu

Korjaava ohjelmistopäivitys
Ongelman rajoittaminen

Haavoittuvuuden kohde

Treck TCP/IP-toteutus - versiota 6.0.1.66 aiemmat versiot
Eri valmistajien Treck TCP/IP-toteutusta käyttävät tuotteet, katso tarkempi listaus CERT/CC:n (Ulkoinen linkki) ja ICS-CERT:n (Ulkoinen linkki) tiedotteista
Päivitys 4.8.2020: Treck TCP/IP-toteutus saatetaan tuntea myös muilla nimillä kuten: Kasago TCP/IP, ELMIC, Net+ OS, Quadnet, GHNET v2, Kwiknet, ja AMX, jotka ovat myös haavoittuvia. Tarkista ajantasainen lista CERT/CC:n (Ulkoinen linkki) ja ICS-CERT:n (Ulkoinen linkki) sivuilta.

Mistä on kysymys?

Valmistajan ohjeet - seuraa valmistajan ohjeita haavoittuvan tuotteen päivittämiseksi tai rajoittavien toimenpiteiden tekemistä varten. Ole tarvittaessa suoraan yhteydessä tuotteen valmistajaan.
Tarkempia rajoituskeinoja löytyy CERT/CC:n (Ulkoinen linkki) haavoittuvuustiedotteesta