Ripple20:Kerentanan Kritis Mungkin Membahayakan Perangkat IoT/OT Anda

Peneliti keamanan siber dari JSOF baru saja menerbitkan satu set 19 kerentanan, dijuluki Ripple20 yang memengaruhi tumpukan TCP/IP yang dikembangkan oleh Treck. Tumpukan perangkat lunak ini terintegrasi ke dalam jutaan sistem yang digunakan di pasar perawatan kesehatan, transportasi, manufaktur, telekomunikasi, dan energi, yang berpotensi memengaruhi sejumlah besar organisasi dan industri penting.

Kerentanan ini mirip dengan kerentanan Mendesak/11 yang diterbitkan pada tahun 2019 dan memengaruhi tumpukan TCP/IP yang dikembangkan oleh Interpeak. Seperti Urgent/11, kerentanan Ripple20 memungkinkan penyerang memicu eksekusi kode jarak jauh dan penolakan layanan (DoS). Banyak vendor seperti HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar, Baxter, dan lainnya telah mengonfirmasi terkena dampak Ripple20.

Solusi Cisco IoT yang dirancang untuk lingkungan industri tidak terpengaruh oleh Ripple20. Faktanya, produk seperti Cisco Cyber ​​Vision dan Cisco Industrial Security Appliance ISA3000 bersama dengan tanda tangan Snort dari Cisco Talos akan membantu mengidentifikasi kerentanan Ripple20 di jaringan Anda dan memulihkan risiko. Beberapa produk Cisco rentan, dan Anda dapat membaca nasihat resmi Cisco di sini.

Treck didirikan pada tahun 1997 dan mengembangkan tumpukan protokol untuk sistem tertanam waktu nyata. Ini digunakan oleh banyak vendor peralatan karena perangkat lunak ini menawarkan kinerja yang dioptimalkan untuk perangkat IoT yang biasanya memiliki memori atau daya pemrosesan terbatas misalnya. Itu dijual dalam bentuk kode sumber sehingga memudahkan vendor untuk mengintegrasikan hanya lapisan protokol yang diinginkan dan memodifikasinya untuk aplikasi tertentu.

Akibatnya, tergantung pada bagaimana produsen mengkhususkan dan mengintegrasikan perpustakaan ini, mereka dapat menjadi hampir tidak dapat diidentifikasi. Selain itu, karena produsen telah diakuisisi, beberapa mungkin kehilangan jejak komponen perangkat lunak ini, sehingga cukup sulit – jika bukan tidak mungkin – untuk mengidentifikasi produk yang terpengaruh.

Fakta penting lainnya adalah kolaborasi masa lalu antara Treck dan perusahaan Jepang Elmic System (sekarang Zuken Elmic). Kolaborasi ini menghasilkan dua tumpukan TCP/IP serupa yang dikelola secara independen oleh masing-masing penerbit dan dijual di wilayah yang berbeda, satu di pasar AS dan satu di pasar Asia. Beberapa kerentanan Ripple20 juga memengaruhi tumpukan TCP/IP yang dikelola oleh Zuken Elmic.

Alamat Ripple20 dengan cepat!

Ripple20 terdiri dari serangkaian 19 kerentanan. Empat di antaranya kritis dengan skor lebih dari 9 dalam skala keparahan CVSS. Ini harus ditangani dengan cepat karena dapat dieksploitasi untuk eksekusi kode jarak jauh sewenang-wenang, serangan penolakan layanan, dan pengungkapan informasi.

CVE-2020-11901 mungkin merupakan kerentanan yang paling parah. Ini dapat dipicu dengan menjawab permintaan DNS dari perangkat dan dapat mengakibatkan eksekusi kode jarak jauh. Karena permintaan DNS umumnya meninggalkan jaringan, permintaan tersebut dapat dengan mudah dicegat untuk memberi penyerang jalan masuk. Selain itu, paket yang dikirim untuk mengeksploitasi kerentanan ini akan sesuai dengan berbagai RFC, sehingga menyulitkan firewall untuk mendeteksi serangan tersebut.

Ini hanya sebuah contoh. Daftar lengkap kerentanan Ripple20 dan deskripsinya dapat ditemukan di situs web JSOF di sini.

Mendeteksi Ripple20 di jaringan IoT/OT Anda

JSOF memperkirakan bahwa beberapa miliar perangkat dapat terpengaruh oleh kerentanan Ripple20 karena banyak vendor telah mengintegrasikan semua atau sebagian dari tumpukan protokol Treck TCP/IP dalam sistem yang mereka kembangkan. Daftar vendor yang terkena dampak telah dibuat oleh CISA ICS-CERT dan dapat ditemukan di sini.

Sementara detail dan daftar vendor yang terpengaruh terus muncul, ada beberapa langkah yang dapat diambil untuk membantu mengidentifikasi dan melindungi dari kerentanan ini.

Karena vendor menerbitkan nasihat keamanan untuk mengidentifikasi produk mereka yang terpengaruh, Cisco akan terus memperbarui basis pengetahuan Cyber ​​Vision sehingga dapat mengenali aset Anda yang terpengaruh. Cisco Cyber ​​Vision adalah solusi yang dirancang khusus untuk mendeteksi serangan terhadap perangkat IoT/OT. Ini secara otomatis mengungkap detail terkecil dari jaringan industri Anda dan membangun inventaris aset komprehensif yang menyoroti kerentanan yang diketahui, seperti Ripple20.

Basis pengetahuan Cyber ​​Vision sering diperbarui dan tersedia gratis untuk semua pelanggan Cyber ​​Vision. Jika Anda belum melakukannya, kami sarankan Anda menginstal versi terbaru hari ini dengan mengunduhnya di sini.

Karena sifat kerentanan Ripple20, dan jenis perangkat yang terpengaruh, Anda mungkin tidak dapat menambal aset yang rentan – atau Anda mungkin tidak pernah tahu bahwa beberapa aset rentan. Untuk menjaga Anda tetap terlindungi, ada beberapa langkah alternatif yang dapat dilakukan.

Cara segera melindungi diri Anda

Dalam jangka pendek, Anda dapat memanfaatkan sistem deteksi intrusi (IDS) untuk mendeteksi dan memperingatkan upaya untuk mengeksploitasi kerentanan ini. Cisco Cyber ​​Vision dapat dikonfigurasi dengan mesin SNORT IDS, memanfaatkan aturan yang dikembangkan oleh Cisco Talos. Cisco Industrial Security Appliance ISA3000 menawarkan IDS yang sama, ditambah kemampuan untuk memblokir perilaku ini dan banyak lagi, semuanya dalam faktor bentuk yang kokoh yang dapat digunakan tepat di samping perangkat industri yang dilindunginya.

ISA3000 juga cocok untuk mengelompokkan jaringan industri Anda dan mengisolasi aset yang tidak perlu saling berkomunikasi. Ini akan memastikan potensi serangan dapat ditahan dan tidak menyebar ke seluruh jaringan.

JSOF telah memberikan banyak rekomendasi perbaikan lain yang juga dapat Anda terapkan dengan ISA3000. Ini termasuk kemampuan untuk memblokir fragmen IP, memblokir IP dalam tunneling IP, menolak paket TCP yang salah format, memblokir pesan ICMP yang tidak digunakan, membatasi lalu lintas DHCP dan membatasi komunikasi dan protokol yang tidak diharapkan dan tidak diperlukan di lingkungan.

Untuk mempelajari lebih lanjut tentang bagaimana Cisco dapat membantu Anda mengamankan jaringan industri Anda, silakan kunjungi IoT Security hub atau hubungi kami untuk mendiskusikan tantangan keamanan IoT industri Anda.