Эксперты из Forescout обнаружили 97 уязвимостей в стеках TCP/IP в рамках проекта Memoria

Специалисты из Forescout Research Labs сообщили о завершении своего проекта Project Memoria, в ходе которого с мая прошлого года было выявлено почти 100 новых уязвимостей в 14 стеках TCP/IP. Как выяснили исследователи, проблема в стеках TCP/IP была гораздо глубже и распространена гораздо шире, чем предполагалось ранее.

В рамках проекта Memoria специалисты Forescout сотрудничали с ИБ-коллегами, университетами и исследовательскими институтами для анализа распространенных ошибок, связанных с уязвимостями в стеках TCP/IP, выявления угроз, которые они представляют для предприятия, и определения передовых методов снижения рисков.

«Некоторые устройства будут исправлены. Многие не будут. Некоторые устройства будут защищены в правильно сегментированных частных сетях, многие останутся открытыми для доступа в интернет. На данный момент мы не знаем об активных действиях по эксплуатации уязвимостей из проекта Memoria, но нужно ли нам ждать, пока произойдет что-то плохое, прежде чем мы поймем, что нам нужно защитить каждое устройство в наших сетях?», — отметили эксперты.

Всего в Project Memoria было выявлено 97 уязвимостей, в том числе Ripple20 (19 проблем), AMNESIA:33 (33), NUMBER:JACK (9), NAME:WRECK (9), INFRA: HALT (14) и NUCLEUS:13 (13). Уязвимости затрагивают 14 стеков TCP/IP, включая CycloneTCP, FNET, FreeBSD, IPnet, MPLAB Net, NetX, NicheStack, NDKTCPIP, Nucleus NET, Nut/Net, picoTCP, Treck, uC/TCP-IP и uIP. lwIP остается единственным стеком, который Forescout проанализировала и не обнаружила в нем проблемы.

Поскольку стеки TCP/IP существуют уже давно, они содержат множество старых уязвимостей, которые часто затрагивают разные версии стека. Самой новой версии стеков семь лет, а самой старой версии — 28. Как пояснили эксперты, стеки были изначально разработаны и реализованы в то время, когда кибербезопасность не вызывала такой большой озабоченности, как сегодня.

Хотя стеки все еще активно развиваются, часто некоторые уязвимости, исправленные поставщиком стека, не распространяются по всей цепочке поставок на затронутые устройства. По словам Forescout, одной из основных причин такой ситуации было «тихое исправление», когда патчи для уязвимости выпускаются без общедоступной документации и без присвоения идентификатора CVE.