URGENT/11 уязвимост излага на риск вградените системи
Открити са съществени дупки в сигурността на платформата VxWorks
Милиарди вградени устройства работят под ръководство на уязвима операционна система (снимка: CCO Public Domain)
Операционната система в действително време VxWorks съдържа 11 съществени уязвимости, на които никой не е обърнал внимание от 2006 година насам, сигнализираха откриватели от Armis. Проблемът, наименуван „ URGENT/11 ”, разрешава отдалечено стартиране на случаен код на устройства под ръководство на VxWorks – а те са милиарди – и изисква незабавно затваряне на „ дупките ”.
VxWorks е система, сходна на Unix и създадена от компанията Wind River Systems за потребление във вградени платформи, където работата в действително време е от решаващо значение . Системата се употребява в разнообразни промишлености – от потребителска електроника до промишлени и медицински контролери и галактическа инсталация.
По-специално, VxWorks се употребява в галактическия транспортен съд SpaceX Dragon и новите марсоходи на НАСА . Редица медицински системи, в това число монитори за положението на пациента, устройства за лъчева терапия и ЯМР (ядрено-магнитен резонанс) скенери, също употребяват тази система.
Общо, съгласно разработчиците, VxWorks ръководи повече от 2 милиарда вградени устройства по целия свят, в това число такива отвън Земята. Изходният код на VxWorks е затворен, тъй като това е комерсиална разработка. Изследователите от Armis са съумели да изтеглят кода на остаряла версия и по-късно благодарение на противоположен инженеринг да „ обновят ” системата и да я прегледат за уязвимости.
Някои от софтуерните неточности, открити във VxWorks, разрешават на хакери да поемат контрола върху вградени устройства без никакво директно взаимоотношение с потребителя. По-лошото е, че защитните стени и NAT системите (които преобразуват мрежови адреси) ще пропуснат офанзивата през някои от тези уязвимости, тъй като за тях пакетите, изпратени по време на офанзивата, наподобяват като изцяло почтен мрежов трафик.
Wind River към този момент разгласява кръпки и указания за попречване на офанзиви против разпознатите уязвимости. Разработчиците настояват, че единствено дребна част от потребителите на VxWorks са изложени на риск от хакерски офанзиви. В последната версия на системата липсва уязвимостта URGENT/11.
Милиарди вградени устройства работят под ръководство на уязвима операционна система (снимка: CCO Public Domain)
Операционната система в действително време VxWorks съдържа 11 съществени уязвимости, на които никой не е обърнал внимание от 2006 година насам, сигнализираха откриватели от Armis. Проблемът, наименуван „ URGENT/11 ”, разрешава отдалечено стартиране на случаен код на устройства под ръководство на VxWorks – а те са милиарди – и изисква незабавно затваряне на „ дупките ”.
VxWorks е система, сходна на Unix и създадена от компанията Wind River Systems за потребление във вградени платформи, където работата в действително време е от решаващо значение . Системата се употребява в разнообразни промишлености – от потребителска електроника до промишлени и медицински контролери и галактическа инсталация.
По-специално, VxWorks се употребява в галактическия транспортен съд SpaceX Dragon и новите марсоходи на НАСА . Редица медицински системи, в това число монитори за положението на пациента, устройства за лъчева терапия и ЯМР (ядрено-магнитен резонанс) скенери, също употребяват тази система.
Общо, съгласно разработчиците, VxWorks ръководи повече от 2 милиарда вградени устройства по целия свят, в това число такива отвън Земята. Изходният код на VxWorks е затворен, тъй като това е комерсиална разработка. Изследователите от Armis са съумели да изтеглят кода на остаряла версия и по-късно благодарение на противоположен инженеринг да „ обновят ” системата и да я прегледат за уязвимости.
Някои от софтуерните неточности, открити във VxWorks, разрешават на хакери да поемат контрола върху вградени устройства без никакво директно взаимоотношение с потребителя. По-лошото е, че защитните стени и NAT системите (които преобразуват мрежови адреси) ще пропуснат офанзивата през някои от тези уязвимости, тъй като за тях пакетите, изпратени по време на офанзивата, наподобяват като изцяло почтен мрежов трафик.
Wind River към този момент разгласява кръпки и указания за попречване на офанзиви против разпознатите уязвимости. Разработчиците настояват, че единствено дребна част от потребителите на VxWorks са изложени на риск от хакерски офанзиви. В последната версия на системата липсва уязвимостта URGENT/11.
Източник: technews.bg
КОМЕНТАРИ