{"id":256412,"date":"2021-08-05T10:32:47","date_gmt":"2021-08-05T08:32:47","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=256412"},"modified":"2021-08-05T11:32:17","modified_gmt":"2021-08-05T09:32:17","slug":"infrahalt-schwachstellen-in-tcp-ip-stack-gefhrden-steuerungssysteme-ot","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2021\/08\/05\/infrahalt-schwachstellen-in-tcp-ip-stack-gefhrden-steuerungssysteme-ot\/","title":{"rendered":"INFRA:HALT: Schwachstellen in TCP\/IP-Stack gefährden Steuerungssysteme (OT)"},"content":{"rendered":"

\"Sicherheit[English<\/a>]Sicherheitsforscher von Forescout und JFrog haben gerade die unter dem Begriff INFRA:HALT zusammengefassten Schwachstellen in der NicheStack TCP\/IP-Bibliothek \u00f6ffentlich gemacht. Sie waren auf bei der Analyse der Bibliothek darauf gesto\u00dfen. Diese NicheStack TCP\/IP-Bibliothek wird in Produkten (Industriesteuerungen und IOT-Industrieger\u00e4te) von mehr als 200 Anbietern verwendet. Mehr als 6.400 anf\u00e4llige Ger\u00e4te sind derzeit online erreichbar.<\/p>\n

<\/p>\n

\"\"Gem\u00e4\u00df diesem Blog-Beitrag<\/a> (Report herunterladbar, Artikel findet sich hier<\/a>), haben Forescout Research Labs und JFrog Security Research 14 neue Schwachstellen im Closed-Source-TCP\/IP-Stack NicheStack entdeckt. Die Schwachstellen erm\u00f6glichen Denial of Service- oder Remote Code Execution-Angriffe. Das betrifft vor allem Ger\u00e4te der Betriebstechnik (OT, Operational Technology) und industrielle Kontrollsysteme (ICS, Industrial Control Systems).<\/p>\n

\"INFRA:HALT\"<\/a><\/p>\n

Ich hatte es in obigem Tweet<\/a> gesehen, heise hat diesen deutschsprachigen Beitrag<\/a> zum Thema ver\u00f6ffentlicht. Das Ganze l\u00e4uft im Projekt Memoria<\/a>, wo TCPI\/IP-Stacks auf Schwachstellen untersucht werden. INFRA:HALT ist ein weiteres Beispiel f\u00fcr die Probleme mit TCP\/IP-Stacks, die bereits mit AMNESIA:33 (siehe Amnesia:33 \u2013 Schwachstelle im TCP\/IP-Stack gef\u00e4hrdet viele IoT-Ger\u00e4te<\/a>) oder NUMBER:JACK (Neue L\u00fccken in TCP\/IP-Stacks entdeckt, Patches f\u00fcr Windows TCP\/IP-Schwachstellen<\/a>) angesprochen wurden.<\/p>\n

Problem bei INFRA:HALT ist, dass der Closed-Source-TCP\/IP-Stack NicheStack in Industrie-Steuerungen eingesetzt wird. So verwenden Siemens in den S7-Steuerungen, aber auch Anbieter von Steuer- und Kontrollsystemen wie Emerson, Honeywell, Mitsubishi Electric, Rockwell Automation und Schneider Electric die Bibliothek. Nachfolgende Tabelle enth\u00e4lt die Liste der Schwachstellen, von denen einige kritisch eingestuft werden.<\/p>\n

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
CVE ID<\/strong><\/th>\nVendor ID<\/strong><\/th>\nDescription<\/strong><\/th>\nAffected component<\/strong><\/th>\nPotential Impact<\/strong><\/th>\nCVSSv3.1 Score<\/strong><\/th>\n<\/tr>\n<\/thead>\n
2020-25928<\/strong><\/td>\nHCCSEC-000010<\/a><\/td>\nThe routine for parsing DNS responses does not check the \"response data length\" field of individual DNS answers, which may cause OOB-R\/W.<\/td>\nDNSv4<\/td>\nRCE<\/td>\n9.8<\/td>\n<\/tr>\n
2021-31226<\/strong><\/td>\nHCCSEC-000003<\/a><\/td>\nA heap buffer overflow exists in the code that parses the HTTP POST request due to lack of size validation.<\/td>\nHTTP<\/td>\nRCE<\/td>\n9.1<\/td>\n<\/tr>\n
2020-25767<\/strong><\/td>\nHCCSEC-000007<\/a><\/td>\nThe routine for parsing DNS domain names does not check whether a compression pointer points within the bounds of a packet, which leads to OOB-R.<\/td>\nDNSv4<\/td>\nDoS Infoleak<\/td>\n7.5<\/td>\n<\/tr>\n
2020-25927<\/strong><\/td>\nHCCSEC-000009<\/a><\/td>\nThe routine for parsing DNS responses does not check whether the number of queries\/responses specified in the packet header corresponds to the query\/response data available in the DNS packet, leading to OOB-R.<\/td>\nDNSv4<\/td>\nDoS<\/td>\n8.2<\/td>\n<\/tr>\n
2021-31227<\/strong><\/td>\nHCCSEC-000004<\/a><\/td>\nA heap buffer overflow exists in the code that parses the HTTP POST request due to an incorrect signed integer comparison.<\/td>\nHTTP<\/td>\nDoS<\/td>\n7.5<\/td>\n<\/tr>\n
2021-31400<\/strong><\/td>\nHCCSEC-000014<\/a><\/td>\nThe TCP out of band urgent data processing function would invoke a panic function if the pointer to the end of the out of band urgent data points out of the TCP segment's data. If the panic function hadn't a trap invocation removed it will result in an infite loop and therefore a DoS (continuous loop or a device reset).<\/td>\nTCP<\/td>\nDoS<\/td>\n7.5<\/td>\n<\/tr>\n
2021-31401<\/strong><\/td>\nHCCSEC-000015<\/a><\/td>\nThe TCP header processing code doesn't sanitize the length of the IP length (header + data). With a crafted IP packet an integer overflow would occur whenever the length of the IP data is calculated by subtracting the length of the header from the length of the total IP packet.<\/td>\nTCP<\/td>\nApp-dependent<\/td>\n7.5<\/td>\n<\/tr>\n
2020-35683<\/strong><\/td>\nHCCSEC-000011<\/a><\/td>\nThe code that parses ICMP packets relies on an unchecked value of the IP payload size (extracted from the IP header) to compute the ICMP checksum. When the IP payload size is set to be smaller than the size of the IP header, the ICMP checksum computation function may read out of bounds.<\/td>\nICMP<\/td>\nDoS<\/td>\n7.5<\/td>\n<\/tr>\n
2020-35684<\/strong><\/td>\nHCCSEC-000012<\/a><\/td>\nThe code that parses TCP packets relies on an unchecked value of the IP payload size (extracted from the IP header) to compute the length of the TCP payload within the TCP checksum computation function. When the IP payload size is set to be smaller than the size of the IP header, the TCP checksum computation function may read out of bounds. A low-impact write-out-of-bounds is also possible.<\/td>\nTCP<\/td>\nDoS<\/td>\n7.5<\/td>\n<\/tr>\n
2020-35685<\/strong><\/td>\nHCCSEC-000013<\/a><\/td>\nTCP ISNs are generated in a predictable manner.<\/td>\nTCP<\/td>\nTCP spoofing<\/td>\n7.5<\/td>\n<\/tr>\n
2021-27565<\/strong><\/td>\nHCCSEC-000017<\/a><\/td>\nWhenever an unknown HTTP request is received, a panic is invoked.<\/td>\nHTTP<\/td>\nDoS<\/td>\n7.5<\/td>\n<\/tr>\n
2021-36762<\/strong><\/td>\nHCCSEC-00001<\/a>6<\/td>\nThe TFTP packet processing function doesn't ensure that a filename is null-terminated, therefore a subsequent call to strlen() upon the file name might read out of bounds of the protocol packet buffer.<\/td>\nTFTP<\/td>\nDoS<\/td>\n7.5<\/td>\n<\/tr>\n
2020-25926<\/strong><\/td>\nHCCSEC-000005<\/a> HCCSEC-000008<\/a><\/td>\nThe DNS client does not set sufficiently random transaction IDs.<\/td>\nDNSv4<\/td>\nDNS cache poisoning<\/td>\n4<\/td>\n<\/tr>\n
2021-31228<\/strong><\/td>\nHCCSEC-000006<\/a><\/td>\nAttackers can predict the source port of DNS queries to send forged DNS response packets that will be accepted as valid answers to the DNS client's request.<\/td>\nDNSv4<\/td>\nDNS cache poisoning<\/td>\n4<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

Shodan warf am 8. M\u00e4rz 2021 bei einer Suche nach mit dem Internet vernetzten Ger\u00e4ten, die Anzeichen f\u00fcr eine Verwendung des NicheStack aufweisen, m ehr als 6400 Treffer aus. Das Gro\u00df wird in Kanada und den USA betrieben, in Europa liegen Spanien, Schweden und Italien auf den vorderen Pl\u00e4tzen. Es gibt aber wohl auch Treffer in Deutschland, wie die Karte hier<\/a> zeigt.<\/p>\n

Der Hersteller HCC Embedded hat die Schwachstellen in NicheStack Version 4.3 beseitigt, wie sich in diesem Sicherheitshinweis<\/a> nachlesen l\u00e4sst. Jetzt kommt es darauf an, dass die Hersteller von Automatiserungsger\u00e4ten diese neue Version als Patch bereitstellen und Anwender dann die Updates auch installieren. F\u00fcr Administratoren m\u00f6chte ich auf diese GitHub-Seite<\/a> von Forescout verweisen. Dort gibt es den in Python geschriebenen project-memoria-detector<\/em>. Mit dem Tool project-memoria-detector<\/em> kann \u00fcberpr\u00fcft werden, ob auf einem Ziel-Netzwerkger\u00e4t ein bestimmter eingebetteter TCP\/IP-Stack mit angreifbaren Schwachstellen l\u00e4uft.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nAmnesia:33 \u2013 Schwachstelle im TCP\/IP-Stack gef\u00e4hrdet viele IoT-Ger\u00e4te<\/a>
\nNeue L\u00fccken in TCP\/IP-Stacks entdeckt, Patches f\u00fcr Windows TCP\/IP-Schwachstellen<\/a>
\nGef\u00e4hrden IoT-Ger\u00e4te mit eingebauten \"Radio-Chips\" die IT-Sicherheit<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Sicherheitsforscher von Forescout und JFrog haben gerade die unter dem Begriff INFRA:HALT zusammengefassten Schwachstellen in der NicheStack TCP\/IP-Bibliothek \u00f6ffentlich gemacht. Sie waren auf bei der Analyse der Bibliothek darauf gesto\u00dfen. Diese NicheStack TCP\/IP-Bibliothek wird in Produkten (Industriesteuerungen und IOT-Industrieger\u00e4te) von … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-256412","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/256412","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=256412"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/256412\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=256412"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=256412"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=256412"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}