Ripple20漏洞：19个严重漏洞威胁全球物联网/OT设备
网络安全研究机构JSOF发布19个严重漏洞综合清单，统称Ripple20，针对Treck TCP/IP协议栈。该栈嵌入医疗、交通、制造、电信、能源领域数百万设备，潜在影响跨越广泛关键基础设施。
Ripple20镜像2019年影响Interpeak TCP/IP栈的Urgent/11缺陷。类似地，新问题支持远程代码执行与拒绝服务(DoS)攻击。HP、施耐德电气、英特尔、罗克韦尔自动化、卡特彼勒、百特等主要厂商已确认暴露于这些弱点。
虽然思科工业物联网产品组合如Cyber Vision与ISA3000设备未受Ripple20影响，但思科确认其部分产品可能存在漏洞。公司公告——此处查看——提供详细指引。思科Cyber Vision结合Talos生成的Snort特征，可在您网络中检测并协助修复Ripple20威胁。
Treck成立于1997年，为实时嵌入式系统提供优化协议栈。栈以源码分发，允许厂商精选裁剪协议层以适配内存受限物联网设备。这种灵活性却可能掩盖Treck组件在成品中的存在，增加漏洞识别难度，尤其在企业并购后。
历史上，Treck与日本Elmic System(现Zuken Elmic)合作，为美亚市场生产并行TCP/IP栈。多个Ripple20漏洞亦影响Zuken Elmic栈。
立即行动：应对Ripple20最高风险缺陷
19个问题中，四个评级为严重(CVSS>9)，威胁最大，可使攻击者执行任意代码、发起DoS攻击、窃取敏感数据。最严重CVE-2020-11901可通过精心构造的DNS响应触发设备请求，导致远程代码执行。因DNS流量通常出网，攻击者相对易拦截，且利用包符合标准RFC，防火墙检测困难。
完整漏洞清单与技术细节，请访问JSOF网站此处。
在您的物联网/OT环境中检测Ripple20
JSOF估计数十亿设备可能受影响，因许多厂商嵌入部分Treck栈。CISA工控系统网络应急响应团队(ICS-CERT)发布不断更新的受影响厂商清单此处。厂商公告持续涌现，主动措施助您识别与缓解风险。
思科Cyber Vision自动绘制工业网络图谱、构建详细资产清单、高亮已知漏洞含Ripple20。知识库定期更新，对所有Cyber Vision客户免费。若未下载，建议此处获取最新版。
鉴于Ripple20本质与修补遗留设备挑战，您还应考虑互补防御措施。
即时防护行动
部署利用思科Talos Snort规则的入侵检测系统(IDS)标记利用尝试。思科Cyber Vision可集成这些规则，ISA3000设备提供IDS加坚固现场格式的实时阻断能力。
ISA3000擅长网络分段，隔离不应直接通信的设备，从而遏制潜在违规。
JSOF建议可通过ISA3000强制的额外缓解：阻断IP分片、IP-in-IP隧道、畸形TCP包、未用ICMP消息、限制DHCP或其他非必要协议。
了解更多工业网络防护信息，探索物联网安全中心或联系思科讨论针对您物联网/OT环境的定制方案。
物联网技术