美国网络安全基础设施和安全局（CISA）警告称，Treck 开发的一个低级 TCP/IP 软件库存在严重漏洞，远程攻击者可以运行任意命令并发动拒绝服务（DoS）攻击。
这四个漏洞影响 Treck TCP/IP Stack 6.0.1.67 及更早版本，其中两个漏洞的等级为严重。
Treck 的嵌入式 TCP/IP Stack 部署在全球制造业、信息技术、医疗保健和运输系统中。
其中最严重的是 Treck HTTP 服务器组件中的基于堆的缓冲区溢出漏洞（CVE-2020-25066），该漏洞允许攻击者重置目标设备或使其崩溃，甚至执行远程代码。它的 CVSS 得分是 9.8 分（最高 10 分）。
第二个漏洞是 IPv6 组件（CVE-2020-27337，CVSS 评分 9.1）中的越界写入，未经身份验证的用户可利用该漏洞通过网络访问造成 DoS。
其他两个漏洞涉及 IPv6 组件中的越界读取（CVE-2020-27338，CVSS 得分 5.9），未经身份验证的攻击者可能会利用该漏洞导致 DoS。同一模块中的输入验证错误漏洞（CVE-2020-27336，CVSS 得分 3.7）可能导致越界读取（通过网络访问最多读取三个字节）。
Treck 建议用户更新到 6.0.1.68 版本。在无法应用最新补丁的情况下，建议使用防火墙以过滤掉 HTTP 报头中包含负内容长度的数据包。
在 Treck TCP/IP Stack 出现新漏洞的 6 个月前，以色列网络安全公司 JSO F发现了名为 Ripple20 的软件库中的 19 个漏洞，这可能使攻击者在不需要任何用户交互的情况下获得对目标物联网设备的完全控制。
此外，本月早些时候，Forescout 的研究人员发现了 33 个漏洞，统称为“AMNESIA：33”。这些漏洞可能导致 TCP/IP Stack 被滥用，使得攻击者可以控制易受攻击的系统。
考虑到复杂的物联网供应链，该公司发布了一种名为“project-memoria-detector”的新检测工具，以确定目标网络设备是否在实验室环境下运行易受攻击的TCP/IP Stack。
猜你喜欢: