安全供應(yīng)商Forescout和JSOF研究公司最近披露了FreeBSD以及為物聯(lián)網(wǎng)設(shè)計的三款流行實時操作系統(tǒng)使用的TCP/IP堆棧存在的一系列漏洞。這九個漏洞可能會影響上億部設(shè)備。

NucleusNET、IPNet和NetX是受這批漏洞影響的三款操作系統(tǒng)，F(xiàn)orescout和JSOF發(fā)布的聯(lián)合報告將這批漏洞統(tǒng)一命名為Name:Wreck。

[[414766]]

Forescout在介紹這批漏洞的報告中寫道，TCP/IP堆棧特別易受攻擊，原因有幾個，包括：使用廣泛，許多堆棧是很久以前開發(fā)的，以及由于跨網(wǎng)絡(luò)邊界的未經(jīng)身份驗證的功能和協(xié)議，使它們成了誘人的攻擊面。

域名系統(tǒng)(DNS)基本上存在同樣的問題，很容易因Name:Wreck漏洞而被人鉆空子。

報告稱："DNS是一種復雜的協(xié)議，往往衍生出易受攻擊的方法;這些漏洞常常被外部攻擊者所利用，以同時控制數(shù)百萬個設(shè)備。"

據(jù)451Research的首席研究分析師EricHanselman聲稱，Name:Wreck讓不法分子可以發(fā)動拒絕服務(wù)攻擊和遠程執(zhí)行代碼，很可能是DNS響應(yīng)內(nèi)容的代碼解析中糟糕的編程實踐造成的。實際上，系統(tǒng)中用于將DNS響應(yīng)壓縮成更小、更易于傳輸?shù)某绦虬囊粋€關(guān)鍵值未經(jīng)過系統(tǒng)的驗證，也會被不法分子操縱。

Hanselman說："DNS攻擊的困難在于，DNS響應(yīng)可能含有大量的信息。格式選項實在太多了，DNS響應(yīng)中返回大量數(shù)據(jù)的情況并不罕見;如果不跟蹤DNS查詢，允許在自己的環(huán)境中使用OpenDNS，就很難跟蹤響應(yīng)，以確保有狀態(tài)的后續(xù)行動。"

許多組織面臨的實際危險，因其所使用的高危堆棧的不同而異。該報告聲稱，F(xiàn)reeBSD漏洞可能更為廣泛，它影響包括Netflix和Yahoo在內(nèi)的數(shù)百萬個IT網(wǎng)絡(luò)以及防火墻和路由器等傳統(tǒng)網(wǎng)絡(luò)設(shè)備，不過可能更容易修復。

[[414767]]

Forrest研究公司的高級分析師BrianKime說："那些是易于管理的系統(tǒng)，我們應(yīng)該能夠更新它們。應(yīng)優(yōu)先考慮對它們加以修復，因為它們是網(wǎng)絡(luò)堆棧的一部分。"

在許多情況下，受Name:Wreck影響的實時操作系統(tǒng)就不一樣了，因為標準問題仍未得到解決，因此為物聯(lián)網(wǎng)設(shè)備確保安全就無從談起。修補和更新固件的功能仍然不是一項標準功能，聯(lián)網(wǎng)設(shè)備的OEM廠商甚至可能不再經(jīng)營--這些聯(lián)網(wǎng)設(shè)備已有些年頭，當初并不是為面向互聯(lián)網(wǎng)而設(shè)計的。

Hanselman聲稱，在那些物聯(lián)網(wǎng)設(shè)備易受攻擊的情況下，強有力的安全必須從網(wǎng)絡(luò)層開始。良好的開頭就是直接監(jiān)控網(wǎng)絡(luò)中的異常活動--以TCP/IP漏洞為例，這種異常活動有時很難檢測到，真正需要的是DNS查詢保護之類的技術(shù)。

他說："幸好對于大多數(shù)組織來說，DNS監(jiān)控已變得極其普遍，因為DNS是檢測勒索軟件的最佳方法之一。大多數(shù)組織都應(yīng)該落實了合理的DNS查詢保護措施。"

這些漏洞的活動范圍受幾個因素的限制，包括受影響的設(shè)備是否可以直接訪問互聯(lián)網(wǎng)--上述的許多醫(yī)療設(shè)備不太可能直接訪問，以及修補起來有多容易。此外值得一提的是，到目前為止，沒人認為這些設(shè)備在外頭被人鉆空子。然而，打印機可能是被盯上的一個重要目標。

據(jù)Kime聲稱，打印機觸手可及，這是由于打印機比較普遍，安全方面往往沒有受到重視。一旦打印機中招，它們會提供一條途徑，攻擊者可以趁機訪問網(wǎng)絡(luò)上其他易受攻擊的設(shè)備。

他說："人們很少會評估打印機方面的漏洞，因此它們被威脅分子所利用。一旦不法分子鉆了別的空子進入到組織環(huán)境，就會持久地利用物聯(lián)網(wǎng)漏洞。"

當然，Name:Wreck不是近期到處肆虐的唯一一批TCP/IP漏洞。之前Forescout和JSOF已發(fā)現(xiàn)了這類安全漏洞的好幾個變種，包括在過去一年內(nèi)發(fā)現(xiàn)的Ripple20、Amnesia:33和Number:Jack。專家們一致認為，在可預見的未來，更多的漏洞可能會公之于眾。如今存在的IP堆棧為數(shù)不多，這意味著許多IP堆棧用于一大批的應(yīng)用環(huán)境，它們通常被認為是安全的。

Hanselman說："大家都以為自己可以從青睞的任何開源軟件發(fā)行版獲取IP堆棧，以為這些IP堆棧應(yīng)該得到了妥善加固。在大多數(shù)情況下，確實如此，但是網(wǎng)絡(luò)堆棧在處理相當復雜的狀態(tài)管理，可能會有意想不到的方式來操縱它們。"