El gran parche global: las vulnerabilidades de VxWorks amenazan con comprometer millones de dispositivos

Aunque VxWorks no sea precisamente un nombre conocido para el consumidor promedio, este producto de software beneficia inevitablemente a muchas personas como tú y como yo, todos y cada uno de los días. Como el sistema operativo en tiempo real (RTOS) más popular del mundo, es el motor en el que (por delegación) confiamos para alimentar redes empresariales y cortafuegos, interfaces aeroespaciales, equipos industriales e incluso algunos dispositivos médicos, solo por nombrar algunas aplicaciones de su uso generalizado.

Y ahora, nos enfrentamos a la posibilidad de que cientos de millones, si no miles de millones, de estos dispositivos estén comprometidos con al menos once vulnerabilidades. El arquitecto jefe de seguridad de Wind River, Arlen Baker, ha cuestionado la cifra en un artículo de SearchSecurity, revelando que el alcance exacto no está confirmado y no se cree que sea tan alto. A pesar de esto, ya sabemos que las brechas de datos y los ataques ocurren todo el tiempo, pero esto es otro nivel: los fallos confirmados son relativamente fáciles de explotar, y muchos abren la puerta permitiendo a los atacantes controlar dispositivos de forma remota mediante la transmisión de paquetes de red.

Wind River, por supuesto, ha lanzado una serie de correcciones y parches para los clientes y asociados afectados. El problema radica en la gran cantidad de dispositivos que requieren la actualización del parche; al igual que Thanos acabando con el mundo con un chasquido de dedos, es inevitable que muchos dispositivos permanezcan sin parches y, por lo tanto, vulnerables durante mucho tiempo.

La firma de seguridad Armis estuvo detrás de este gigantesco descubrimiento, bautizando sus hallazgos como URGENT/11. Lo han identificado como grave, sin duda debido a la facilidad de ataque desde múltiples vectores y al potencial de una infección extensa. La creación y despliegue de un gusano en el software que alimenta todo, desde escáneres de resonancia magnética y productos VOIP hasta redes de trenes y semáforos, es totalmente posible.

¿Es hora de entrar en pánico?

Como alguien que ha hecho de la concienciación sobre la seguridad una misión crítica en su vida, veo muchos problemas de seguridad potenciales en el día a día. Pasaría la mayor parte del día histérico si me permitiera entrar en pánico demasiado (después de todo, ¡prefiero ponerme manos a la obra para intentar educar y ayudar a corregir los errores!). Sin embargo, el alcance del hallazgo URGENT/11 es bastante aterrador. De las once vulnerabilidades encontradas, seis se consideran críticas. Como señala The Hacker News, estos fallos han existido en dispositivos que ejecutan VxWorks desde la versión 6.5 (excluyendo las versiones diseñadas para certificación, incluidas VxWorks 653 y VxWorks Cert Edition), lo que significa que parte de la tecnología vital ha estado bajo amenaza de ataques de toma de control de dispositivos durante más de una década. No todos los dispositivos son vulnerables a los once fallos (y algunos solo pueden ser explotados si el atacante está en la misma subred LAB), pero incluso un hacker mediocre solo necesita una pequeña ventana de oportunidad.

Es importante señalar que Wind River ha actuado rápidamente y ha proporcionado consejos detallados sobre cómo mitigar los problemas, al igual que Armis. Además, el RTOS VxWorks es tan ampliamente adoptado porque es muy fiable y obtiene una alta puntuación en las normativas de seguridad de software; normalmente, los cazadores de recompensas por errores no se molestan demasiado con él. Sin embargo, las empresas de seguridad y Wind River solo pueden hacer hasta cierto punto para resolver el problema... está en manos del usuario final descargar los parches, seguir los consejos de seguridad y fortalecer sus propios dispositivos, y ahí es donde se complica.

Quizás no necesitemos entrar en pánico todavía, pero podría hacer falta todo un pueblo para domar a esta bestia.

Explicación de las vulnerabilidades URGENT/11

En este punto, cualquier dispositivo conectado a la pila TCP/IP IPnet de VxWorks comprometida desde la versión 6.5 podría verse afectado por al menos una de las URGENT/11. (Para obtener una lista completa de CVE de Wind River, consulte aquí).

En su mayoría, estos fallos permiten la ejecución remota de código (RCE) y ataques de denegación de servicio, y un par de ellos también conducen a la exposición de información y problemas de lógica empresarial. La ejecución remota de código es un problema particularmente delicado en este caso, ya que un atacante puede tomar el control de un dispositivo sin ninguna interacción del usuario final. Nadie tiene que hacer clic accidentalmente en nada sospechoso, descargar nada o introducir sus datos... hace que los dispositivos VxWorks sean altamente "infectables" por gusanos y que el ataque adquiera una vida automatizada propia. ¿Recuerdas el gusano WannaCry de EternalBlue? URGENT/11 tiene un potencial similar, aunque más devastador, para darnos un dolor de cabeza global.

¿Qué podemos hacer al respecto?

Bueno, en el momento de escribir este artículo, las consecuencias de URGENT/11 siguen siendo desconocidas. Los medios de comunicación han puesto al sector sobre aviso y Wind River está proporcionando apoyo claramente a los afectados. Los próximos meses revelarán si algún atacante decide explotar estos fallos conocidos de forma significativa, pero mientras tanto, la solución obvia es seguir la plétora de consejos y parchear cualquier dispositivo relevante que esté a tu alcance.

A largo plazo, la misión sigue siendo la misma: todo el mundo necesita mejorar en lo que respecta a la seguridad del software. Los CVE de URGENT/11 son, por lo general, puertas traseras preocupantemente sencillas por las que entrar, y el hecho de que permanecieran sin descubrir durante muchos años es un testimonio de que la preocupación y la concienciación general del sector son bastante bajas.

Cada desarrollador tiene la oportunidad de hacer su parte, y necesita el apoyo para aprender a asegurar el código desde el principio de la producción. Los equipos influyentes que los rodean, desde AppSec hasta la alta dirección, pueden garantizar que una cultura de seguridad positiva prospere en cada punto de contacto del software dentro de la empresa.

¿Quieres poner a prueba tu propia concienciación sobre seguridad? Nuestra plataforma gamificada puede ofrecerte desafíos de código reales similares a algunos de los descubiertos en URGENT/11. Échales un vistazo y mira cómo te va:

• Desbordamiento de búfer en el análisis de DHCP Offer/ACK en ipdhcpc (CVE-2019-12257)
  Corrupción de memoria - Desbordamiento de búfer
• DoS de conexión TCP mediante opciones TCP malformadas (CVE-2019-12258)
  Protección insuficiente de la capa de transporte - Transporte no protegido de información sensible
• Fallo lógico en la asignación de IPv4 por parte del cliente DHCP ipdhcpc (CVE-2019-12264)
  Fallos de lógica empresarial
• DoS mediante desreferencia NULL en el análisis de IGMP (CVE-2019-12259)
  Corrupción de memoria - Desreferencia nula
• Fuga de información de IGMP mediante informe de pertenencia específico de IGMPv3 (CVE-2019-12265)
  Exposición de información - Exposición de datos sensibles