کمیته رکن چهارم – جزییات چهار آسیب‌پذیری در استک موسوم به Treck TCP/IP به‌صورت عمومی در دسترس قرار گرفته است که درجه حساسیت دو مورد از آنها حیاتی است.
مرکز CISA ایالات متحده نیز با انتشار توصیه‌نامه‌ای نسبت به تأثیر آسیب‌پذیری‌های مذکور بر روی سامانه‌های کنترل صنعتی (ICS) هشدار داده است.
استک Treck TCP/IP که به‌طور خاص برای سامانه‌های Embedded طراحی شده، یک کتابخانه نرم‌افزاری سطح پایین و سبک TCP/IP است. از استک Treck TCP/IP در برخی محصولات مورد استفاده در حوزه‌هایی همچون کارخانجات، فناوری اطلاعات، مراکز بهداشت و درمان و صنعت حمل‌ونقل بهره گرفته شده است.
۲۸ آذر، محققان Intel، جزییات چهار آسیب‌پذیری در استک Treck TCP/IP را به‌صورت عمومی منتشر کردند. درجه حساسیت دو مورد از این آسیب‌پذیری‌ها “حیاتی” (Critical) گزارش شده است. فهرست چهار آسیب‌پذیری مذکور به شرح زیر است:
CVE-۲۰۲۰-۲۵۰۶۶ با درجه اهمیت ۹,۸ از ۱۰ – بر طبق استاندارد CVSS – یکی از دو آسیب‌پذیری “حیاتی” است که از وجود باگ Heap-based Buffer Overflow در اجزای Treck HTTP Server ناشی می‌شود. بهره‌جویی (Exploit) از CVE-۲۰۲۰-۲۵۰۶۶ می‌تواند منجر به از کار افتادن سامانه (Denial of Service) یا قادر ساختن مهاجم به اجرای کد به‌صورت از راه دور شود.
CVE-۲۰۲۰-۲۷۳۳۷ نیز با درجه اهمیت ۹,۱، دیگر آسیب پذیری “حیاتی” است که به دلیل وجود اشکال Out-of-bounds Write در IPv۶ مهاجم را بدون نیاز به اصالت‌سنجی قادر به از کار انداختن سامانه از طریق دسترسی شبکه‌ای می‌کند.
CVE-۲۰۲۰-۲۷۳۳۸ با درجه اهمیت ۵,۹ ضعفی از نوع Out-of-bounds read در بخش DHCPv۶ client در Treck IPv۶ است که سوءاستفاده از آن بدون نیاز به اصالت‌سنجی شدن، تنها در صورت فراهم بودن امکان مجاورت با شبکه قربانی سبب از کار افتادن سامانه می‌شود.
CVE-۲۰۲۰-۲۷۳۳۶ ضعفی از نوع Out-of-bounds Read با درجه اهمیت ۳,۷ است که از اعتبارسنجی ناصحیح ورودی در جزء IPv۶ ناشی می‌شود. بهره‌جویی از آن می‌تواند منجر به خوانده شدن تا سه بایت از طریق دسترسی شبکه‌ای بدون اصالت‌سنجی شود.
آسیب‌پذیری‌های مذکور در نسخه ۶,۰.۱.۶۸ و نسخ پس از آن ترمیم و اصلاح شدهاند. لذا ارتقای Treck TCP/IP به آخرین نسخه توصیه می‌شود.
همچنین شرکت Treck به راهبرانی که قادر به اعمال آخرین به‌روزرسانی‌ها نیستند پیشنهاد کرده که با اعمال قواعد دیواره آتش بسته‌هایی را که در سرآیند HTTP آنها مقدار محتوا به طور ناصحیح درج شده است پالایش کنند.
برای به حداقل رساندن ریسک بهره‌جویی، راهبران باید اطمینان حاصل کنند که سامانه‌های کنترلی از طریق اینترنت قابل دسترس نباشند، شبکه سامانه‌های کنترلی و دستگاه‌های از راه دور را از شبکه کسب و کار مجزا بوده و در پشت دیواره آتش قرار داشته باشد و از روش‌های امن همچون VPN برای دسترسی از راه دور استفاده شود.
همچنین شرکت امنیتی Forescout ابزار کد باز زیر را برای شناسایی آن دسته از استک‌های TCP/IP آسیب‌پذیر به مجموعه ضعف‌های امنیتی معروف به AMNESIA-۳۳ که به تازگی افشا شدهاند منتشر کرده است:
https://github.com/Forescout/project-memoria-detector
در عین حال Forescout توصیه کرده پیش از استفاده از این ابزار در بسترهای عملیاتی با دستگاه‌های با عملکرد حیاتی، پایلوت و آزمایش شود.
توصیه‌نامه CISA در لینک زیر قابل دریافت است:
https://us-cert.cisa.gov/ics/advisories/icsa-۲۰-۳۵۳-۰۱
توصیه‌نامه شرکت Treck نیز در لینک زیر قابل مطالعه است:
https://treck.com/vulnerability-response-information
منبع : مرکز مدیریت راهبردی افتا
