URGENT/11 白皮书笔记——远程危害VxWorks的关键漏洞6.9.3及以上

Pekingkenny

已于 2022-04-28 15:20:22 修改

阅读量6.2k

点赞数 1

分类专栏：毕设论文文章标签：学习嵌入式硬件 eclipse

于 2022-04-23 14:46:36 首次发布

本文链接：https://blog.csdn.net/kennyctx/article/details/124347590

版权

Introduction

Armis 研究人员在 VxWorks 中发现了 11 个零日漏洞，VxWorks 是最流行的实时操作系统 (RTOS)，被超过 20 亿台设备使用，包括工业、医疗和企业设备等关键任务设备。把这些漏洞称为 URGENT/11，这些漏洞位于 IPnet、TCP/IP 堆栈中，影响了过去13年的版本，并且是已发现的影响操作系统的漏洞的罕见示例。在其 32 年的历史中，MITRE 仅仅列出了 13 个影响 VxWorks 的 CVE，其中没有一个漏洞像 URGENT/11 那样严重影响核心网络堆栈。
近年来，在广泛使用的 TCP/IP 堆栈实现中的漏洞变得十分罕见，尤其是那些可以在目标设备上执行远程代码的漏洞。这种类型的漏洞是攻击者的圣杯，因为他们不依赖于构建在易受攻击的堆栈之上的特定应用程序，而是只需要攻击者对目标设备具有网络访问权限，这使得它们本质上可以被用来远程利用。当在 TCP 实现中发现这类漏洞的时候，它们甚至可以被用来绕过防火墙或者 NAT 解决方案，因为它们隐藏在看起来无辜的 TCP 流量中。
发现的11个漏洞中包括6个可能导致远程代码执行的严重漏洞：

IPv4 数据包中 IP 选项解析过程中的堆栈溢出(CVE-2019-12256)
TCP 紧急指针 = 0 导致整数下溢(CVE-2019-12255)
由格式错误的 TCP AO 选项造成的TCP 紧急指针状态混乱(CVE-2019-12260)
在连接到远程主机期间 TCP 紧急指针状态混乱(CVE-2019-12261)
由竞争条件引起的 TCP 紧急指针状态混乱(CVE-2019-12263)
ipdhcpc 中的DHCP Offer /ACK 解析中的堆溢出(CVE-2019-12257)

以及还有5个可能导致拒绝服务、逻辑错误或者信息泄露的漏洞

通过格式错误的 TCP 选项进行 TCP 连接 DOS(CVE-2019-12258)
处理未经请求的反向 ARP 回复（逻辑缺陷）(CVE-2019-12262)
ipdhcpc DHCP 客户端分配 IPv4 的逻辑缺陷(CVE-2019-12264)
在 IGMP 解析中通过NULL引用来进行DOS(CVE-2019-12259)
通过 IGMPv3 特定成员报告泄露 IGMP 信息(CVE-2019-12265)

本文档将详细介绍各种深奥的且被人有些遗忘的 TCP/IP 机制，这些机制已经被发现包含有网络堆栈实现过程中的漏洞，以及这些漏洞本身。白皮书还将展示这些漏洞产生的严重后果，漏洞将影响很多设备。
有关 URGENT/11 的更多信息，请访问 https://armis.com/urgent11

Armis Labs 是 Armis 的研究团队，专注于混合和拆分构成我们周围物联网设备的原子——无论是智能个人助理、外观良好的打印机、SCADA 控制器还是医院床边等生命支持设备例如一个病人监护仪。
之前的研究包括:

通过蓝牙堆栈中的 RCE 漏洞针对设备的攻击向量
德州仪器 BLE 芯片中的两个芯片级漏洞，嵌入在企业级接入点中。

为什么要研究 RTOS 网络堆栈？
就原始数据而言，据我们所知，运行在 RTOS 上的嵌入式微控制器和 CPU 的数量远远大于运行在成熟操作系统上的 CPU 或设备的数量。在当今世界，这些嵌入式产品和组件越来越多地连接到 LAN，甚至直接连接到 Internet。此外，构成我们基础架构的关键设备可能至少具有使用着 RTOS 的某些组件。因此，在流行着的 RTOS 中的严重漏洞的影响是巨大的而且迄今为止还没有得到人们很好的理解。
最重要的是，这些 RTOS 的代码库通常是封闭源代码的，并且在大多数情况下，对它们的安全研究很少。

执行摘要
URGENT/11 是一组 11 个被发现影响 IPnet、VxWorks 的 TCP/IP 堆栈的漏洞。其中六个漏洞被归类为严重漏洞并可以启用远程代码执行 (RCE)的漏洞。其余漏洞被归类为拒绝服务、信息泄漏或逻辑缺陷等漏洞。由于每个漏洞影响网络堆栈的不同部分，所以它们会影响一组不同的 VxWorks 版本。作为一个整体，URGENT/11 影响 VxWorks 的 6.5 及更高版本，每个版本都至少有一个 RCE 漏洞影响。过去 13 年中有很多受影响的版本，这种情况在网络领域是罕见的，是 VxWorks 在研究界相对默默无闻的结果。这个时间跨度或许会更长，根据 Wind River 的说法，当 2006 年从 Interpeak 收购 IPnet 时，其中的三个漏洞已经存在。
URGENT/11 支持三种攻击场景，具体取决于设备在网络上的位置和攻击者的位置。
第一种攻击场景影响驻留在网络边界的任何受影响的 VxWorks 设备，并这些设备直接暴露于互联网，例如防火墙、调制解调器、路由器。攻击者可以直接从 Internet 攻击此类设备，破坏它们并随后破坏它们所保护的网络。
第二种攻击场景会影响驻留在边界后方、内部网络内的任何受影响的 VxWorks 设备，这些设备通过防火墙或 NAT 解决方案连接到 Internet。URGENT/11 可以允许攻击者接管这些设备，通过拦截它们创建的到 Internet 的 TCP 连接，和操纵防火墙或 NAT 解决方案发回的数据包中的 TCP 报头的某些字段。这是由于漏洞在TCP报头的解析和处理中处于唯一的低级位置。
在最后一种情况下，由于先前的攻击而已经位于网络中的攻