這9個漏洞正在影響上億設備
安全供應商Forescout和JSOF研究公司最近披露了FreeBSD以及為物聯網設計的三款流行實時操作系統使用的TCP/IP堆棧存在的一系列漏洞。這九個漏洞可能會影響上億部設備。
NucleusNET、IPNet和NetX是受這批漏洞影響的三款操作系統，Forescout和JSOF發布的聯合報告將這批漏洞統一命名為Name:Wreck。
Forescout在介紹這批漏洞的報告中寫道，TCP/IP堆棧特別易受攻擊，原因有幾個，包括：使用廣泛，許多堆棧是很久以前開發的，以及由于跨網絡邊界的未經身份驗證的功能和協議，使它們成了誘人的攻擊面。
域名系統(DNS)基本上存在同樣的問題，很容易因Name:Wreck漏洞而被人鉆空子。
報告稱："DNS是一種復雜的協議，往往衍生出易受攻擊的方法;這些漏洞常常被外部攻擊者所利用，以同時控制數百萬個設備。"
據451Research的首席研究分析師EricHanselman聲稱，Name:Wreck讓不法分子可以發動拒絕服務攻擊和遠程執行代碼，很可能是DNS響應內容的代碼解析中糟糕的編程實踐造成的。實際上，系統中用于將DNS響應壓縮成更小、更易于傳輸的程序包的一個關鍵值未經過系統的驗證，也會被不法分子操縱。
Hanselman說："DNS攻擊的困難在于，DNS響應可能含有大量的信息。格式選項實在太多了，DNS響應中返回大量數據的情況并不罕見;如果不跟蹤DNS查詢，允許在自己的環境中使用OpenDNS，就很難跟蹤響應，以確保有狀態的后續行動。"
許多組織面臨的實際危險，因其所使用的高危堆棧的不同而異。該報告聲稱，FreeBSD漏洞可能更為廣泛，它影響包括Netflix和Yahoo在內的數百萬個IT網絡以及防火墻和路由器等傳統網絡設備，不過可能更容易修復。
Forrest研究公司的高級分析師BrianKime說："那些是易于管理的系統，我們應該能夠更新它們。應優先考慮對它們加以修復，因為它們是網絡堆棧的一部分。"
在許多情況下，受Name:Wreck影響的實時操作系統就不一樣了，因為標準問題仍未得到解決，因此為物聯網設備確保安全就無從談起。修補和更新固件的功能仍然不是一項標準功能，聯網設備的OEM廠商甚至可能不再經營--這些聯網設備已有些年頭，當初并不是為面向互聯網而設計的。
Hanselman聲稱，在那些物聯網設備易受攻擊的情況下，強有力的安全必須從網絡層開始。良好的開頭就是直接監控網絡中的異常活動--以TCP/IP漏洞為例，這種異常活動有時很難檢測到，真正需要的是DNS查詢保護之類的技術。
他說："幸好對于大多數組織來說，DNS監控已變得極其普遍，因為DNS是檢測勒索軟件的最佳方法之一。大多數組織都應該落實了合理的DNS查詢保護措施。"
這些漏洞的活動范圍受幾個因素的限制，包括受影響的設備是否可以直接訪問互聯網--上述的許多醫療設備不太可能直接訪問，以及修補起來有多容易。此外值得一提的是，到目前為止，沒人認為這些設備在外頭被人鉆空子。然而，打印機可能是被盯上的一個重要目標。
據Kime聲稱，打印機觸手可及，這是由于打印機比較普遍，安全方面往往沒有受到重視。一旦打印機中招，它們會提供一條途徑，攻擊者可以趁機訪問網絡上其他易受攻擊的設備。
他說："人們很少會評估打印機方面的漏洞，因此它們被威脅分子所利用。一旦不法分子鉆了別的空子進入到組織環境，就會持久地利用物聯網漏洞。"
當然，Name:Wreck不是近期到處肆虐的唯一一批TCP/IP漏洞。之前Forescout和JSOF已發現了這類安全漏洞的好幾個變種，包括在過去一年內發現的Ripple20、Amnesia:33和Number:Jack。專家們一致認為，在可預見的未來，更多的漏洞可能會公之于眾。如今存在的IP堆棧為數不多，這意味著許多IP堆棧用于一大批的應用環境，它們通常被認為是安全的。
Hanselman說："大家都以為自己可以從青睞的任何開源軟件發行版獲取IP堆棧，以為這些IP堆棧應該得到了妥善加固。在大多數情況下，確實如此，但是網絡堆棧在處理相當復雜的狀態管理，可能會有意想不到的方式來操縱它們。"
