Die Forscher Shlomi Oberman und Moshe Kol von der israelischen Sicherheitsfirma JSOF haben reihenweise Sicherheitslücken in einer schlanken TCP/IP-Implementierung der Firma Treck entdeckt, berichtet Heise. Insgesamt haben die beiden Forscher 19 Sicherheitslücken, "Ripple20" genannt, ausfindig gemacht. Bei vielen geht es laut dem Online-Portal darum, dass für spezielle TCP/IP-Optionen die Längenbeschränkungen einzelner Felder nicht beachtet wird. So können Angreifer einen eigenen Code einschleusen und ausführen oder kritische Daten auslesen. Das für Industriesteuerungen zuständige ICS-CERT bewertet demnach den Vorfall mit der maximalen Schwere von 10 in der CVSSv3-Skala.
Verwundbarste Stelle von Netzwerkgeräten
Bei dem TCP/IP-Stack handle es sich um die verwundbarste Stelle von Netzwerkgeräten, da er als erste Instanz alle Netzwerkdaten verarbeiten muss – auch die bösartigen eines Angreifers. Ein Programmierfehler an dieser Stelle führt sehr häufig zu kritischen Sicherheitslücken. Der TCP/IP-Stack von Treck werde von Firmen wie HP, Intel, Schneider Electric oder Rockwell Automation genutzt.
Die Entdecker schätzen, dass "hunderte von Millionen" Geräte verwundbar sind, vielleicht sogar Milliarden. Diese Geräte kommen fast überall zum Einsatz: zum Beispiel in Smarthomes, Routern, Druckern, Steuerungen von Stromnetzen und Industrieanlagen, Satelliten, Flugzeugen. Das Schlimmste sei, dass viele dieser Geräte niemals ein Sicherheitsupdate bekommen, weil das nicht vorgesehen ist. Niemand habe bislang daran gedacht, dass diese Geräte einmal ein Sicherheitsproblem haben könnten, heißt es bei Heise.
Viele Fragen noch offen
Nach Angaben des Autors hat der Hersteller die Lücken in der Version 6.0.1.67 beseitigt. Wie diese auf die betroffenen Geräte kommen soll, bleibe weitgehend offen, so das Fazit. Hersteller sollen sich laut CERT/CC an die Firma Treck selbst wenden. Kunden, die ein verwundbares Gerät einsetzen, sollen sich mit dessen Verkäufer in Verbindung setzen,.
Herauszufinden, dass man betroffen ist, sei schwierig. Einen konkreten Test auf Anfälligkeit gebe es bisher wohl nicht. Als Schutz schlagen die Entdecker und CERTs vor, "anormalen IP-Verkehr" zu blockieren. (sg)
