Le grand correctif mondial : des failles dans VxWorks menacent des millions d'appareils

Bien que VxWorks ne soit pas exactement un nom familier pour le consommateur moyen, ce logiciel profite inévitablement à beaucoup de gens comme vous et moi, chaque jour. En tant que système d'exploitation temps réel (RTOS) le plus populaire au monde, c'est le pilier sur lequel nous comptons (par procuration) pour alimenter les réseaux d'entreprise et les pare-feux, les interfaces aérospatiales, les équipements industriels et même certains dispositifs médicaux, pour ne citer que quelques exemples de son utilisation généralisée.

Et maintenant, nous sommes confrontés à la possibilité que des centaines de millions, voire des milliards, de ces appareils soient compromis par au moins onze vulnérabilités. L'architecte en chef de la sécurité de Wind River, Arlen Baker, a contesté ce chiffre dans un article de SearchSecurity, révélant que l'ampleur exacte n'est pas confirmée et ne serait pas aussi élevée. Malgré cela, nous savons déjà que les violations de données et les attaques sont monnaie courante, mais là, nous passons à un niveau supérieur : les failles confirmées sont relativement faciles à exploiter, beaucoup ouvrant la porte et permettant aux attaquants de contrôler les appareils à distance par la transmission de paquets réseau.

Wind River a, bien entendu, publié une série de correctifs et de mises à jour pour les clients et associés concernés. Le problème réside dans le nombre considérable d'appareils nécessitant cette mise à jour - tout comme Thanos mettant fin au monde d'un claquement de doigts, il est inévitable que de nombreux appareils restent sans correctif, et donc vulnérables, pendant longtemps.

La société de sécurité Armis est à l'origine de cette découverte monumentale, baptisant ses conclusions URGENT/11. Ils ont identifié la situation comme grave, sans aucun doute en raison de la facilité d'attaque via de multiples vecteurs et du potentiel d'infection étendue. La création et le déploiement d'un ver dans des logiciels alimentant tout, des scanners IRM aux produits VOIP, en passant par les réseaux ferroviaires et les feux de signalisation, est tout à fait possible.

Est-ce le moment de paniquer ?

En tant que personne ayant fait de la sensibilisation à la sécurité une mission essentielle de sa vie, je vois beaucoup de problèmes de sécurité potentiels au quotidien. Je passerais la majeure partie de ma journée en état d'hystérie si je me laissais trop paniquer (après tout, je préfère m'atteler à la tâche d'éduquer et d'aider à corriger les bugs !). Cependant, l'ampleur de la découverte URGENT/11 est assez effrayante. Sur les onze vulnérabilités trouvées, six sont considérées comme critiques. Comme l'indique The Hacker News, ces failles existent dans les appareils utilisant VxWorks depuis la version 6.5 (à l'exclusion des versions conçues pour la certification, notamment VxWorks 653 et VxWorks Cert Edition), ce qui signifie que certaines technologies vitales sont sous la menace d'attaques de prise de contrôle depuis plus d'une décennie maintenant. Tous les appareils ne sont pas vulnérables aux onze failles (et certaines ne peuvent être exploitées que si l'attaquant se trouve sur le même sous-réseau LAB), mais même un pirate informatique médiocre n'a besoin que d'une petite fenêtre d'opportunité.

Il est important de noter que Wind River a agi rapidement et fourni des conseils détaillés sur l'atténuation des problèmes, tout comme Armis. De plus, le RTOS VxWorks est si largement adopté parce qu'il est très fiable et obtient d'excellents résultats en matière de réglementation de sécurité logicielle - généralement, les chasseurs de primes aux bugs ne s'y intéressent pas trop. Cependant, les entreprises de sécurité et Wind River ne peuvent pas tout résoudre... il appartient à l'utilisateur final de télécharger les correctifs, de suivre les conseils de sécurité et de renforcer ses propres appareils, et c'est là que cela devient délicat.

Peut-être n'avons-nous pas besoin de paniquer tout de suite, mais il faudra peut-être tout un village pour maîtriser cette bête.

Les vulnérabilités URGENT/11 expliquées

À ce stade, tout appareil connecté à la pile TCP/IP IPnet de VxWorks compromise depuis la version 6.5 pourrait être affecté par au moins l'une des vulnérabilités URGENT/11. (Pour une liste complète des CVE de Wind River, voir ici).

La plupart du temps, ces failles permettent l'exécution de code à distance (RCE) et des attaques par déni de service, quelques-unes menant également à l'exposition d'informations et à des problèmes de logique métier. L'exécution de code à distance est un problème particulièrement sensible dans ce cas, car un attaquant peut prendre le contrôle d'un appareil sans aucune interaction de l'utilisateur final. Personne n'a besoin de cliquer accidentellement sur quoi que ce soit de suspect, de télécharger quoi que ce soit ou de saisir ses informations... cela rend les appareils VxWorks hautement « contaminables » par des vers et permet à l'attaque de prendre une vie automatisée. Vous souvenez-vous du ver WannaCry basé sur EternalBlue ? URGENT/11 a un potentiel similaire, mais encore plus dévastateur, de nous causer un casse-tête mondial.

Que pouvons-nous faire à ce sujet ?

Eh bien, au moment où nous écrivons ces lignes, les conséquences d'URGENT/11 restent inconnues. Les médias ont sensibilisé l'industrie et Wind River apporte clairement son soutien aux personnes concernées. Les mois à venir révéleront si des attaquants choisissent d'exploiter ces failles connues de manière significative, mais en attendant, la solution évidente est de suivre la pléthore de conseils et de corriger tout appareil pertinent dans votre environnement.

À long terme, la mission reste la même : tout le monde doit faire mieux en matière de sécurité logicielle. Les CVE URGENT/11 sont généralement des portes dérobées inquiétantes de simplicité, et le fait qu'elles soient restées inconnues pendant de nombreuses années témoigne du faible niveau de préoccupation et de sensibilisation de l'industrie dans son ensemble.

Chaque développeur a la possibilité d'apporter sa pierre à l'édifice, et ils ont besoin de soutien pour apprendre à sécuriser le code dès le début de la production. Les équipes influentes qui les entourent, de la sécurité des applications à la direction générale, peuvent garantir qu'une culture de sécurité positive prospère à chaque point de contact logiciel au sein de l'entreprise.

Vous voulez tester votre propre sensibilisation à la sécurité ? Notre plateforme ludique peut vous proposer de véritables défis de code similaires à certains de ceux découverts dans URGENT/11. Découvrez-les et voyez comment vous vous en sortez :

• Dépassement de tampon de tas (heap overflow) dans l'analyse DHCP Offer/ACK dans ipdhcpc (CVE-2019-12257)
  Corruption de mémoire - Dépassement de tampon de tas
• DoS de connexion TCP via des options TCP malformées (CVE-2019-12258)
  Protection insuffisante de la couche de transport - Transport non protégé d'informations sensibles
• Faille logique dans l'attribution IPv4 par le client DHCP ipdhcpc (CVE-2019-12264)
  Failles de logique métier
• DoS via déréférencement NULL dans l'analyse IGMP (CVE-2019-12259)
  Corruption de mémoire - Déréférencement NULL
• Fuite d'informations IGMP via un rapport d'adhésion spécifique IGMPv3 (CVE-2019-12265)
  Exposition d'informations - Exposition de données sensibles