Der große globale Patch: VxWorks-Schwachstellen gefährden Millionen von Geräten

Auch wenn VxWorks den meisten Verbrauchern kein Begriff ist, profitieren Sie und ich jeden Tag von diesem Softwareprodukt. Als weltweit beliebtestes Echtzeitbetriebssystem (RTOS) ist es das Arbeitstier, auf das wir uns (indirekt) verlassen, um Unternehmensnetzwerke und Firewalls, Luft- und Raumfahrtschnittstellen, Industrieanlagen und sogar einige medizinische Geräte zu betreiben – um nur einige Anwendungsbereiche zu nennen.

Nun stehen wir vor der Möglichkeit, dass Hunderte Millionen, wenn nicht sogar Milliarden dieser Geräte von mindestens elf Schwachstellen betroffen sind. Arlen Baker, Chief Security Architect bei Wind River, hat die Zahl in einem Artikel von SearchSecurity infrage gestellt und darauf hingewiesen, dass das genaue Ausmaß unbestätigt ist und vermutlich nicht so hoch liegt. Dennoch wissen wir, dass Datenpannen und Angriffe an der Tagesordnung sind, aber das hier ist eine neue Dimension: Die bestätigten Sicherheitslücken sind relativ leicht auszunutzen, wobei viele davon Angreifern durch das Senden von Netzwerkpaketen die Tür öffnen und die Fernsteuerung der Geräte ermöglichen.

Wind River hat natürlich eine Reihe von Korrekturen und Patches für betroffene Kunden und Partner veröffentlicht. Das Problem liegt in der schieren Anzahl der Geräte, die ein Update benötigen – ähnlich wie Thanos, der mit einem Fingerschnippen die Welt beendete, ist es unvermeidlich, dass viele Geräte für lange Zeit ungepatcht und damit anfällig bleiben.

Die Sicherheitsfirma Armis steckte hinter dieser gewaltigen Entdeckung und nannte ihre Ergebnisse URGENT/11. Sie stufen die Lage als ernst ein, zweifellos aufgrund der einfachen Angreifbarkeit über mehrere Vektoren und des Potenzials für eine weitreichende Infektion. Die Erstellung und Verbreitung eines Wurms in Software, die alles von MRT-Scannern und VOIP-Produkten bis hin zu Bahnnetzwerken und Ampelanlagen steuert, ist durchaus möglich.

Ist es Zeit für Panik?

Als jemand, der das Sicherheitsbewusstsein zu einer zentralen Lebensaufgabe gemacht hat, sehe ich täglich viele potenzielle Sicherheitsprobleme. Ich würde den Großteil meines Tages hysterisch verbringen, wenn ich mich zu sehr in Panik versetzen ließe (schließlich möchte ich mich lieber darauf konzentrieren, aufzuklären und bei der Fehlerbehebung zu helfen!). Dennoch ist das Ausmaß der URGENT/11-Ergebnisse ziemlich beängstigend. Von den elf gefundenen Schwachstellen gelten sechs als kritisch. Wie The Hacker News feststellt, existieren diese Fehler in Geräten mit VxWorks seit Version 6.5 (ausgenommen Versionen, die für Zertifizierungen entwickelt wurden, wie VxWorks 653 und VxWorks Cert Edition). Das bedeutet, dass einige lebenswichtige Technologien seit über einem Jahrzehnt der Gefahr einer Übernahme ausgesetzt sind. Nicht jedes Gerät ist für alle elf Fehler anfällig (und einige können nur ausgenutzt werden, wenn sich der Angreifer im selben LAB-Subnetz befindet), aber selbst ein mittelmäßiger Hacker braucht nur ein kleines Zeitfenster.

Es ist wichtig zu erwähnen, dass Wind River schnell gehandelt und detaillierte Ratschläge zur Risikominderung gegeben hat, ebenso wie Armis. Zudem ist das VxWorks RTOS so weit verbreitet, weil es so zuverlässig ist und bei Software-Sicherheitsvorschriften hohe Punktzahlen erzielt – normalerweise beschäftigen sich Bug-Bounty-Jäger nicht allzu sehr damit. Sicherheitsfirmen und Wind River können jedoch nur begrenzt bei der Problemlösung helfen... es liegt am Endanwender, Patches herunterzuladen, Sicherheitshinweise zu beachten und die eigenen Geräte abzusichern, und genau da wird es schwierig.

Vielleicht müssen wir noch nicht in Panik geraten, aber es könnte eine gemeinsame Anstrengung erfordern, dieses Biest zu bändigen.

Die URGENT/11-Schwachstellen erklärt

Zum jetzigen Zeitpunkt könnte jedes Gerät, das seit Version 6.5 mit dem kompromittierten VxWorks TCP/IP IPnet-Stack verbunden ist, von mindestens einer der URGENT/11-Schwachstellen betroffen sein. (Eine vollständige Liste der CVEs von Wind River finden Sie hier).

Meist ermöglichen diese Fehler Remote Code Execution (RCE) und Denial-of-Service-Angriffe, wobei einige auch zu Informationsabfluss und Business-Logik-Problemen führen. Die Remote Code Execution ist in diesem Fall besonders kritisch, da ein Angreifer die Kontrolle über ein Gerät übernehmen kann, ohne dass der Endbenutzer interagieren muss. Niemand muss versehentlich auf etwas Verdächtiges klicken, etwas herunterladen oder Daten eingeben... das macht VxWorks-Geräte hochgradig "wurmbar" und lässt den Angriff ein automatisiertes Eigenleben entwickeln. Erinnern Sie sich an den WannaCry-Wurm durch EternalBlue? URGENT/11 hat ein ähnliches, wenn nicht sogar verheerenderes Potenzial, uns weltweit Kopfzerbrechen zu bereiten.

Was können wir dagegen tun?

Zum Zeitpunkt der Erstellung dieses Artikels sind die Folgen von URGENT/11 noch unbekannt. Die Medien haben die Branche sensibilisiert, und Wind River unterstützt die Betroffenen aktiv. Die kommenden Monate werden zeigen, ob Angreifer diese bekannten Schwachstellen tatsächlich ausnutzen werden. In der Zwischenzeit ist die offensichtlichste Lösung, die zahlreichen Ratschläge zu befolgen und alle relevanten Geräte in Ihrem Umfeld zu patchen.

Langfristig bleibt das Ziel dasselbe: Jeder muss bei der Softwaresicherheit besser werden. Die URGENT/11-CVEs sind im Allgemeinen besorgniserregend einfache Hintertüren, und die Tatsache, dass sie viele Jahre unentdeckt blieben, zeugt davon, dass das allgemeine Bewusstsein und die Sorge in der Branche recht gering sind.

Jeder Entwickler hat die Chance, seinen Teil beizutragen, und benötigt Unterstützung, um zu lernen, wie man Code von Beginn der Produktion an sicher gestaltet. Die einflussreichen Teams um sie herum, von AppSec bis zur Geschäftsführung, können sicherstellen, dass eine positive Sicherheitskultur an jedem Software-Berührungspunkt im Unternehmen gedeiht.

Möchten Sie Ihr eigenes Sicherheitsbewusstsein testen? Unsere spielerische Plattform bietet Ihnen echte Code-Herausforderungen, die denen von URGENT/11 ähneln. Probieren Sie es aus und sehen Sie, wie Sie abschneiden:

• Heap-Overflow beim Parsen von DHCP Offer/ACK in ipdhcpc (CVE-2019-12257)
  Speicherkorruption - Heap-Overflow
• TCP-Verbindungs-DoS durch fehlerhafte TCP-Optionen (CVE-2019-12258)
  Unzureichender Schutz der Transportschicht - Ungeschützter Transport sensibler Informationen
• Logikfehler bei der IPv4-Zuweisung durch den ipdhcpc DHCP-Client (CVE-2019-12264)
  Business-Logik-Fehler
• DoS durch NULL-Dereferenzierung beim IGMP-Parsing (CVE-2019-12259)
  Speicherkorruption - Null-Dereferenzierung
• IGMP-Informationsleck durch IGMPv3-spezifischen Mitgliedschaftsbericht (CVE-2019-12265)
  Informationsabfluss - Offenlegung sensibler Daten