Ripple20：关键漏洞可能使您的 IoT/OT 设备面临风险

JSOF 的网络安全研究人员刚刚发布了一组 19 个漏洞，称为 Ripple20，这些漏洞正在影响 Treck 开发的 TCP/IP 堆栈。此软件堆栈已集成到医疗保健、运输、制造、电信和能源市场中使用的数百万个系统中，可能会影响大量组织和关键行业。

这些漏洞类似于 2019 年发布的 Urgent/11 漏洞，它们影响了 Interpeak 开发的 TCP/IP 堆栈。与 Urgent/11 一样，Ripple20 漏洞允许攻击者触发远程代码执行和拒绝服务 (DoS)。惠普、施耐德电气、英特尔、罗克韦尔自动化、卡特彼勒、百特等多家供应商已经确认受到 Ripple20 的影响。

专为工业环境设计的思科物联网解决方案不受 Ripple20 的影响。事实上，Cisco Cyber​​ Vision 和 Cisco 工业安全设备 ISA3000 等产品以及 Cisco Talos 的 Snort 签名将有助于识别网络中的 Ripple20 漏洞并修复风险。部分 Cisco 产品存在漏洞，您可以在此处阅读 Cisco 官方公告。

Treck 成立于 1997 年，为实时嵌入式系统开发协议栈。许多设备供应商都在使用它，因为该软件可为通常内存或处理能力有限的物联网设备提供优化的性能。它以源代码的形式出售，使供应商可以轻松地仅集成所需的协议层并针对特定应用对其进行修改。

因此，根据制造商对这些库的专业化和集成方式，它们几乎无法识别。此外，随着制造商被收购，一些制造商可能已经失去了对该软件组件的跟踪，这使得识别受影响的产品变得非常困难（如果不是不可能的话）。

另一个重要事实是 Treck 与日本公司 Elmic System（今天的 Zuken Elmic）之间的过去合作。这种合作产生了两个类似的 TCP/IP 堆栈，由每个出版商独立维护并在不同地区销售，一个在美国市场，一个在亚洲市场。多个 Ripple20 漏洞也影响了 Zuken Elmic 维护的 TCP/IP 堆栈。

快速解决 Ripple20！

Ripple20 由一系列 19 个漏洞组成。其中四个是关键的，在 CVSS 严重性量表中得分超过 9。应尽快解决这些问题，因为它们可被用于任意远程代码执行、拒绝服务攻击和信息泄露。

CVE-2020-11901 可能是最严重的漏洞。它可以通过回答来自设备的 DNS 请求来触发，并可能导致远程代码执行。由于 DNS 请求通常会离开网络，因此很容易被拦截，从而为攻击者提供途径。此外，利用此漏洞发送的数据包将符合各种 RFC，使得防火墙难以检测到攻击。

这只是一个例子。可以在此处的 JSOF 网站上找到 Ripple20 漏洞的完整列表及其描述。

检测 IoT/OT 网络中的 Ripple20

JSOF 估计，由于许多供应商已在他们开发的系统中集成了全部或部分 Treck TCP/IP 协议栈，因此有数十亿设备可能受到 Ripple20 漏洞的影响。 CISA ICS-CERT 已建立受影响供应商列表，可在此处找到。

虽然详细信息和受影响供应商列表不断出现，但可以采取一些措施来帮助识别和防范这些漏洞。

随着供应商发布安全建议以确定其哪些产品受到影响，思科将继续更新 Cyber​​ Vision 知识库，以便它可以发现您的受影响资产。 Cisco Cyber​​ Vision 是一种专门设计用于检测对 IoT/OT 设备的攻击的解决方案。它会自动发现您工业网络的最小细节，并构建一个全面的资产清单，突出显示已知漏洞，例如 Ripple20。

Cyber​​ Vision 知识库经常更新，所有 Cyber​​ Vision 客户均可免费使用。如果您还没有这样做，我们建议您今天通过在此处下载来安装最新版本。

由于 Ripple20 漏洞的性质以及受影响设备的类型，您可能无法修补易受攻击的资产——或者您可能永远不知道某些资产是易受攻击的。为了保护您，您可以采取一些替代措施。

如何立即保护自己

在短期内，您可以利用入侵检测系统 (IDS) 来检测和警告利用这些漏洞的企图。 Cisco Cyber​​ Vision 可以配置 SNORT IDS 引擎，利用 Cisco Talos 开发的规则。思科工业安全设备 ISA3000 提供相同的 IDS，以及阻止这些行为的能力等等，所有这些都在坚固耐用的外形中，可以与它所保护的工业设备一起部署。

ISA3000 还非常适合对您的工业网络进行分段并隔离不需要相互通信的资产。这将确保可以遏制潜在的攻击，并且不会蔓延到整个网络。

JSOF 提供了许多其他补救建议，您也可以使用 ISA3000 实施这些建议。其中包括阻止 IP 片段、阻止 IP 隧道中的 IP、拒绝格式错误的 TCP 数据包、阻止未使用的 ICMP 消息、限制 DHCP 流量以及限制环境中意外和不需要的通信和协议的能力。

要详细了解思科如何帮助您保护您的工业网络，请访问物联网安全中心或联系我们讨论您的工业物联网安全挑战。