侵權(quán)投訴
訂閱
糾錯(cuò)
加入自媒體

頂象:“INFRA:HALT”漏洞的技術(shù)分析與影響研判

2021-08-18 16:17
來(lái)源: 粵訊

近日,國(guó)外網(wǎng)絡(luò)安全研究人員披露了 14 個(gè)影響常用TCP/IP 堆棧的漏洞。這些漏洞被命名為“INFRA:HALT”,攻擊者基于該系列漏洞能夠進(jìn)行遠(yuǎn)程代碼執(zhí)行、拒絕服務(wù)、信息泄漏、TCP 欺騙等攻擊,甚至在DNS緩存植入惡意代碼、病毒等。

分析顯示,“INFRA:HALT”系列漏洞主要影響NicheStack 4.3之前所有版本,包括NicheLite也受到影響,全球大多數(shù)工業(yè)自動(dòng)化企業(yè)都使用NicheStack TCP/IP協(xié)議棧,受影響的設(shè)備廠商超過(guò)200家。

NicheStack,又名InterNiche Stack,是用于嵌入式系統(tǒng)的第三方閉源TCP/IP協(xié)議棧組件,旨在提供互聯(lián)網(wǎng)連接工業(yè)設(shè)備,主要部署在制造工廠、發(fā)電、水處理和關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域的設(shè)備上。包含西門(mén)子、艾默生、霍尼韋爾、三菱電機(jī)、羅克韋爾自動(dòng)化、施耐德電氣等的可編程邏輯控制器 (PLC) 和其他產(chǎn)品,以及許多制造、發(fā)電、水處理等關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域的操作技術(shù)(OT)設(shè)備中均有應(yīng)用。

“INFRA:HALT”包含14個(gè)安全漏洞

“INFRA:HALT”系列漏洞主要包含遠(yuǎn)程代碼執(zhí)行、DoS、信息泄露、TCP欺騙等14個(gè)漏洞,影響DNSv4、HTTP、TCP、ICMP等模塊,其中2個(gè)漏洞CVSS評(píng)分超過(guò)9分。

CVE-2020-25928:該漏洞是分析DNS響應(yīng)時(shí)未檢查單個(gè)DNS答案時(shí)未檢查響應(yīng)數(shù)據(jù)長(zhǎng)度(response data length)域引發(fā)的安全漏洞,可能引發(fā)OOB-R/W,是一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞,影響DNSv4模塊,CVSS評(píng)分9.8分。

CVE- 2021-31226:該漏洞是分析HTTP POST請(qǐng)求時(shí)由于未進(jìn)行大小驗(yàn)證引發(fā)的堆緩存溢出漏洞,是一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞,影響HTTP模塊,CVSS評(píng)分9.1分。

CVE-2020-25767:該漏洞是分析DNS域名時(shí)未檢查壓縮指針的指向是否在包邊界內(nèi),可能引發(fā)OOB-R,最終引發(fā)DoS攻擊和信息泄露,該漏洞CVSS評(píng)分7.5分,影響DNSv4模塊。

CVE-2020-25927:該漏洞是分析DNS響應(yīng)時(shí)未檢查包頭中特定的查詢(xún)或響應(yīng)數(shù)是否與DNS包中的查詢(xún)或響應(yīng)一致引發(fā)的安全問(wèn)題,可能引發(fā)DoS攻擊,CVSS評(píng)分8.2分。

CVE-2021-31227:該漏洞是分析HTTP POST請(qǐng)求時(shí)由于錯(cuò)誤的簽名整數(shù)比較引發(fā)的對(duì)緩存溢出漏洞,可能引發(fā)DoS攻擊,影響HTTP模塊,CVSS評(píng)分7.5分。

CVE-2021-31400:TCP帶外緊急數(shù)據(jù)處理函數(shù)在處理帶外緊急數(shù)據(jù)的末尾指針指向TCP包外的數(shù)據(jù)時(shí),會(huì)調(diào)用一個(gè)panic函數(shù)。如果panic函數(shù)沒(méi)有移除trap調(diào)用,就會(huì)引發(fā)死循環(huán),最終引發(fā)DoS攻擊,該漏洞影響TCP模塊,CVSS評(píng)分為7.5分。

CVE-2021-31401:TCP頭處理代碼沒(méi)有對(duì)IP長(zhǎng)度(頭+數(shù)據(jù))的長(zhǎng)度進(jìn)行處理。如果攻擊者偽造一個(gè)IP包,就可能引發(fā)整數(shù)溢出,因?yàn)镮P數(shù)據(jù)的長(zhǎng)度是通過(guò)全部IP數(shù)據(jù)包的長(zhǎng)度減去header的長(zhǎng)度來(lái)計(jì)算的。該漏洞影響TCP模塊,CVSS評(píng)分為7.5分。

CVE-2020-35683:處理ICMP包的代碼依賴(lài)IP payload大小來(lái)計(jì)算ICMP校驗(yàn)和,但是IP payload的大小是沒(méi)有經(jīng)過(guò)檢查的。當(dāng)IP payload大小的設(shè)定值小于IP header的大小時(shí),ICMP校驗(yàn)和的計(jì)算函數(shù)就可能讀越界,引發(fā)DoS攻擊。該漏洞影響ICMP模塊,CVSS評(píng)分7.5分。

CVE- 2020-35684:處理TCP包的代碼依賴(lài)IP payload大小來(lái)計(jì)算TCP payload的長(zhǎng)度。當(dāng)IP payload大小的設(shè)定值小于IP header的大小時(shí),ICMP校驗(yàn)和的計(jì)算函數(shù)就可能讀越界,引發(fā)DoS攻擊。該漏洞影響TCP模塊,CVSS評(píng)分7.5分。

CVE- 2020-3568:該漏洞是由于TCP ISN的生成是以一種可預(yù)測(cè)的方式生成的。該漏洞可能引發(fā)TCP欺騙,影響TCP模塊,CVSS評(píng)分7.5分。

CVE- 2021-27565:當(dāng)接收到未知的HTTP請(qǐng)求時(shí),會(huì)調(diào)用panic。該漏洞可能引發(fā)DoS攻擊,漏洞影響HTTP模塊,CVSS評(píng)分7.5分。

CVE- 2021-36762:TFTP包處理函數(shù)無(wú)法確保文件名是否是非終止符,因此之后調(diào)用strlen()可能會(huì)引發(fā)協(xié)議包緩存越界,引發(fā)DoS攻擊。該漏洞影響TFTP模塊,CVSS評(píng)分7.5分。

CVE- 2020-25926:該漏洞是由于DNS客戶(hù)端未設(shè)置足夠多的隨機(jī)交易ID引發(fā)的,可能引發(fā)DNS緩存投毒攻擊。漏洞影響DNSv4模塊,CVSS評(píng)分4分。

CVE- 2021-31228:攻擊者可以預(yù)測(cè)DNS查詢(xún)的源端口,因此可以發(fā)送偽造的DNS請(qǐng)求包來(lái)讓DNS客戶(hù)端作為請(qǐng)求的有效應(yīng)答來(lái)接收,可能引發(fā)DNS緩存投毒攻擊。漏洞影響DNSv4模塊,CVSS評(píng)分4分。

受“INFRA:HALT”漏洞影響的工控廠商

針對(duì)全網(wǎng)互聯(lián)網(wǎng)工控設(shè)備情況進(jìn)行分析發(fā)現(xiàn),受“INFRA:HALT”系列漏洞影響最嚴(yán)重的主要是美國(guó)、加拿大、西班牙以及瑞典等國(guó)家。

頂象:“INFRA:HALT”漏洞的技術(shù)分析與影響研判

西門(mén)子受影響產(chǎn)品:

頂象:“INFRA:HALT”漏洞的技術(shù)分析與影響研判

施耐德電氣受影響產(chǎn)品:Lexium ILE ILA ILS firmware version V01.103 and prior。

施耐德電氣目前尚未提供漏洞修復(fù)補(bǔ)丁,建議通過(guò)防火墻等安全措施對(duì)潛在的漏洞攻擊風(fēng)險(xiǎn)進(jìn)行緩解。

霍尼韋爾受影響產(chǎn)品:官方尚未發(fā)布該系列漏洞安全公告。

三菱受影響產(chǎn)品:官方尚未發(fā)布該系列漏洞安全公告。

INFRA:HALT系列漏洞的利用情況

根據(jù)安全研究者披露的一份技術(shù)文檔顯示,目前關(guān)于“INFRA:HALT”系列漏洞有一定程度的技術(shù)描述,但尚未公布基于該系列漏洞的利用程序與POC。

分析顯示,使用了InterNiche協(xié)議棧組件的產(chǎn)品容易遭受“INFRA:HALT”系列漏洞攻擊,受影響的主要為HTTP、FTP、TELNET、SSH等服務(wù)。查詢(xún)Shodan發(fā)現(xiàn),有超過(guò)6400個(gè)運(yùn)行NicheStack協(xié)議棧的設(shè)備。其中6360個(gè)運(yùn)行HTTP服務(wù)器,其他大多數(shù)運(yùn)行FTP、SSH、Telnet等服務(wù)。這些設(shè)備可能遭受 CVE-2020-25928、CVE-2021-31226漏洞的攻擊,導(dǎo)致設(shè)備被遠(yuǎn)程控制。

安全研究員公布方還發(fā)布了一個(gè)開(kāi)源的檢測(cè)腳本,可以協(xié)助檢測(cè)設(shè)備系統(tǒng)是否使用了InterNiche協(xié)議棧及其版本信息。

截至目前,HCC Embedded 公司已準(zhǔn)備發(fā)布修復(fù)補(bǔ)丁。但在更新固件前,攻擊者可能已開(kāi)始利用“INFRA:HALT”系列漏洞發(fā)動(dòng)攻擊。因此受影響企業(yè)應(yīng)盡快排查、監(jiān)測(cè)相關(guān)設(shè)備系統(tǒng)的使用情況,禁止相關(guān)設(shè)備開(kāi)啟HTTP、FTP、TELNET、SSH等通用網(wǎng)絡(luò)服務(wù),或者使用防火墻等網(wǎng)絡(luò)安全產(chǎn)品將相關(guān)端口進(jìn)行過(guò)濾。

同時(shí),受影響企業(yè)還需持續(xù)關(guān)注相關(guān)工控設(shè)備廠商的安全公告,及時(shí)防范和修復(fù)受影響的產(chǎn)品漏洞。

頂象保障工控安全

頂象是一家以大規(guī)模風(fēng)險(xiǎn)實(shí)時(shí)計(jì)算技術(shù)為核心的業(yè)務(wù)安全公司,旨在幫助客戶(hù)構(gòu)建自主可控的風(fēng)險(xiǎn)安全體系,實(shí)現(xiàn)業(yè)務(wù)可持續(xù)的增長(zhǎng)。作為CNNVD(國(guó)家信息安全漏洞庫(kù))、CICSVD(國(guó)家工業(yè)信息安全漏洞庫(kù))重要技術(shù)支撐單位,頂象是工信部、人保部、共青團(tuán)中央等12個(gè)部門(mén)主辦“2020年全國(guó)工業(yè)互聯(lián)網(wǎng)安全技術(shù)技能大賽”的出題方和裁判員,并獲得主辦方頒發(fā)的“突出貢獻(xiàn)獎(jiǎng)”榮譽(yù)稱(chēng)號(hào)。

基于多年安全技術(shù)研究、業(yè)務(wù)安全攻防實(shí)戰(zhàn)經(jīng)驗(yàn),頂象推出了一整套工控安全智能防護(hù)系統(tǒng),擁有漏洞挖掘、未知威脅發(fā)現(xiàn)、風(fēng)險(xiǎn)預(yù)測(cè)感知、威脅欺騙誘捕、主動(dòng)安全防御能力,為石油石化、能源電力、軌道交通、智能制造等工業(yè)領(lǐng)域提供覆蓋全生命周期的安全體系。

在漏洞挖掘能力方面,頂象洞見(jiàn)實(shí)驗(yàn)主要面向底層工控設(shè)備和裝置( PLC、DCS、SCADA等)以及各類(lèi)組態(tài)軟件的漏洞挖掘和安全研究,擁有30余名資深安全研究人員團(tuán)隊(duì),基于領(lǐng)先的工業(yè)系統(tǒng)漏洞挖掘與利用、漏洞模糊測(cè)試和工業(yè)協(xié)議分析技術(shù),每月平均挖掘原創(chuàng)0day漏洞100個(gè)以上,為國(guó)內(nèi)外數(shù)十家知名工業(yè)企業(yè)提供過(guò)安全檢測(cè)服務(wù),獲得了客戶(hù)的高度認(rèn)可與好評(píng)。

通過(guò)符號(hào)執(zhí)行和污點(diǎn)跟蹤分析,結(jié)合頂象獨(dú)有的人工智能技術(shù),實(shí)現(xiàn)X86、X86_64、 ARM、MIPS等主流架構(gòu)的無(wú)源碼二進(jìn)制文件漏洞挖掘,能夠快速定位包括內(nèi)存越界、溢出等各種類(lèi)型安全漏洞。并通過(guò)集成了數(shù)萬(wàn)種掃描插件的自主研發(fā)的非入侵式無(wú)損智能掃描系統(tǒng),對(duì)設(shè)備進(jìn)行完整性、脆弱性、安全性進(jìn)行全面檢測(cè)與評(píng)估,提升設(shè)備的安全性、可靠性和穩(wěn)定性。

聲明: 本文系OFweek根據(jù)授權(quán)轉(zhuǎn)載自其它媒體或授權(quán)刊載,目的在于信息傳遞,并不代表本站贊同其觀點(diǎn)和對(duì)其真實(shí)性負(fù)責(zé),如有新聞稿件和圖片作品的內(nèi)容、版權(quán)以及其它問(wèn)題的,請(qǐng)聯(lián)系我們。

發(fā)表評(píng)論

0條評(píng)論,0人參與

請(qǐng)輸入評(píng)論內(nèi)容...

請(qǐng)輸入評(píng)論/評(píng)論長(zhǎng)度6~500個(gè)字

您提交的評(píng)論過(guò)于頻繁,請(qǐng)輸入驗(yàn)證碼繼續(xù)

  • 看不清,點(diǎn)擊換一張  刷新

暫無(wú)評(píng)論

暫無(wú)評(píng)論

安防 獵頭職位 更多
文章糾錯(cuò)
x
*文字標(biāo)題:
*糾錯(cuò)內(nèi)容:
聯(lián)系郵箱:
*驗(yàn) 證 碼:

粵公網(wǎng)安備 44030502002758號(hào)