Exploits Ripple20 : 19 vulnérabilités critiques menacant dispositifs IoT/OT worldwide

Des chercheurs cybersécurité de JSOF ont publié une liste exhaustive de 19 vulnérabilités critiques, collectivement connues sous le nom Ripple20, ciblant la pile TCP/IP Treck. Cette pile est embarquée dans des millions de dispositifs à travers santé, transport, manufacturing, télécoms, énergie, signifiant impact potentiel sur vaste array d'infrastructures critiques.

Ripple20 miroite les failles Urgent/11 2019 affectant la pile TCP/IP Interpeak. Comme Urgent/11, les nouveaux problèmes permettent exécution code à distance et attaques denial-of-service (DoS). Grands fournisseurs – HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar, Baxter – ont déjà confirmé exposition à ces faiblesses.

Si le portefeuille Cisco industrial IoT, tel que Cyber Vision et l'appliance ISA3000, n'est pas affecté par Ripple20, Cisco reconnaît qu'un sous-ensemble de ses produits peut être vulnérable. L'advisory Cisco – dispo ici – fournit guidance détaillée. Le Cyber Vision Cisco, couplé aux signatures Snort générées par Talos, peut détecter et aider remédier menaces Ripple20 dans votre réseau.

Treck, fondée 1997, livre piles protocoles optimisées pour systèmes embarqués temps-réel. La pile est distribuée comme code source, permettant aux fournisseurs de cherry-pick et tailler couches protocoles pour dispositifs IoT mémoire-contrainte. Cette flexibilité peut cependant obscurcir présence composants Treck dans produits finaux, compliquant identification vulnérabilités, surtout après acquisitions corporate.

Historiquement, Treck collaborait avec firme japonaise Elmic System (maintenant Zuken Elmic), produisant piles TCP/IP parallèles pour marchés US et asiatique. Plusieurs vulnérabilités Ripple20 affectent aussi la pile Zuken Elmic.

Agir maintenant : Adresser failles Ripple20 haut risque

Parmi les 19 problèmes, quatre sont rated critical (CVSS >9). Ceux-ci posent la plus grande menace, permettant attaquants d'exécuter code arbitraire, lancer attaques DoS, ou exfiltrer données sensibles. La plus sévère, CVE-2020-11901, peut être déclenchée par réponse DNS crafted à requête dispositif, menant à exécution code à distance. Comme trafic DNS sort typiquement du réseau, attaquants peuvent l'intercepter aisément, et paquets exploit respectent RFCs standards, rendant détection firewall challenging.

Pour liste complète vulnérabilités et détails techniques, visitez site JSOF ici.

Détecter Ripple20 dans votre environnement IoT/OT

JSOF estime que milliards de dispositifs peuvent être affectés, beaucoup de fournisseurs embarquant portions pile Treck. Le CISA Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) a publié liste évolutive fournisseurs impactés ici. Pendant que advisories fournisseurs continuent d'émerger, étapes proactives peuvent aider identifier et mitiger risques.

Cisco Cyber Vision mappe automatiquement votre réseau industriel, construit inventaire actifs détaillé, et met en lumière vulnérabilités connues – incluant Ripple20. La knowledge base est régulièrement mise à jour et gratuite pour tous clients Cyber Vision. On recommande télécharger dernière version ici si pas déjà fait.

Donnée la nature de Ripple20 et défis patching dispositifs legacy, vous devriez aussi considérer mesures défensives complémentaires.

Actions protectrices immédiates

Déployez systèmes détection intrusion (IDS) tirant parti règles Cisco Talos Snort pour flag tentatives exploitation. Cisco Cyber Vision peut intégrer ces règles, tandis que l'appliance ISA3000 offre IDS plus blocage temps-réel en format rugged, on-site.

L'ISA3000 excelle à segmentation réseau, isolant dispositifs qui ne devraient pas communiquer directement, contenant ainsi brèches potentielles.

JSOF recommande mitigations additionnelles enforceables avec ISA3000, comme bloquer fragmentation IP, tunneling IP-in-IP, paquets TCP malformés, messages ICMP inutilisés, et restreindre DHCP ou autres protocoles inutiles.

Pour plus d'infos sur la sauvegarde de votre réseau industriel, explorez IoT Security Hub ou contactez Cisco pour discuter solutions sur mesure pour votre environnement IoT/OT.