Eksploitasi Ripple20: 19 Kerentanan Kritis yang Mengancam Perangkat IoT/OT di Seluruh Dunia
Peneliti keamanan siber dari JSOF telah merilis daftar komprehensif 19 kerentanan kritis, yang secara kolektif dikenal sebagai Ripple20, yang menargetkan stack TCP/IP Treck. Stack ini tertanam dalam jutaan perangkat di seluruh sektor kesehatan, transportasi, manufaktur, telekomunikasi, dan energi, yang berarti dampak potensial mencakup berbagai infrastruktur kritis.
Ripple20 mencerminkan kekurangan Urgent/11 tahun 2019 yang mempengaruhi stack TCP/IP Interpeak. Seperti Urgent/11, masalah baru ini memungkinkan eksekusi kode jarak jauh dan serangan penolakan layanan (DoS). Vendor besar—termasuk HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar, dan Baxter—telah mengonfirmasi paparan terhadap kelemahan ini.
Sementara portofolio IoT industri Cisco, seperti Cyber Vision dan appliance ISA3000, tidak terpengaruh oleh Ripple20, Cisco mengakui bahwa subset produknya mungkin rentan. Peringatan perusahaan—tersedia di sini—memberikan panduan detail. Cyber Vision Cisco, dikombinasikan dengan tanda tangan Snort yang dihasilkan Talos, dapat mendeteksi dan membantu menyelesaikan ancaman Ripple20 di jaringan Anda.
Treck, didirikan pada 1997, menyediakan stack protokol yang dioptimalkan untuk sistem embedded real-time. Stack didistribusikan sebagai kode sumber, yang memungkinkan vendor untuk memilih dan menyesuaikan lapisan protokol agar cocok dengan perangkat IoT yang terbatas memori. Fleksibilitas ini, namun, dapat menyembunyikan keberadaan komponen Treck dalam produk akhir, menyulitkan identifikasi kerentanan, terutama setelah akuisisi korporasi.
Secara historis, Treck bekerjasama dengan perusahaan Jepang Elmic System (sekarang Zuken Elmic), menghasilkan stack TCP/IP paralel untuk pasar AS dan Asia. Beberapa kerentanan Ripple20 juga mempengaruhi stack Zuken Elmic.
Tindakan Segera: Atasi Kerentanan Tertinggi Risiko Ripple20
Di antara 19 masalah, empat diklasifikasikan kritis (CVSS >9). Ini menimbulkan ancaman terbesar, memungkinkan penyerang mengeksekusi kode sembarangan, meluncurkan serangan DoS, atau mengeksfiltrasi data sensitif. Yang paling parah, CVE-2020-11901, dapat dipicu oleh respons DNS yang dibuat khusus terhadap permintaan perangkat, yang mengarah pada eksekusi kode jarak jauh. Karena lalu lintas DNS biasanya keluar dari jaringan, penyerang dapat menyadapnya dengan relatif mudah, dan paket eksploitasi mematuhi RFC standar, yang membuat deteksi firewall sulit.
Untuk daftar lengkap kerentanan dan detail teknis, kunjungi situs web JSOF di sini.
Deteksi Ripple20 di Lingkungan IoT/OT Anda
JSOF memperkirakan miliaran perangkat mungkin terpengaruh, karena banyak vendor menyematkan bagian dari stack Treck. Tim Tanggap Darurat Siber Sistem Kontrol Industri (ICS-CERT) CISA telah menerbitkan daftar yang terus berkembang tentang vendor yang terkena dampak di sini. Sementara peringatan vendor terus muncul, langkah proaktif dapat membantu Anda mengidentifikasi dan mengurangi risiko.
Cisco Cyber Vision secara otomatis memetakan jaringan industri Anda, membangun inventaris aset detail, dan menyoroti kerentanan yang diketahui—termasuk Ripple20. Basis pengetahuan diperbarui secara teratur dan gratis untuk semua pelanggan Cyber Vision. Kami merekomendasikan mengunduh versi terbaru di sini jika Anda belum melakukannya.
Karena sifat Ripple20 dan tantangan dalam patch perangkat generasi lama, Anda juga harus mempertimbangkan langkah pertahanan pelengkap.
Tindakan Perlindungan Segera
Terapkan sistem deteksi intrusi (IDS) yang memanfaatkan aturan Snort Cisco Talos untuk menandai upaya eksploitasi. Cisco Cyber Vision dapat mengintegrasikan aturan ini, sementara appliance ISA3000 menawarkan IDS plus kemampuan pemblokiran real-time dalam format rugged di lokasi.
ISA3000 unggul dalam segmentasi jaringan, mengisolasi perangkat yang tidak seharusnya berkomunikasi secara langsung, sehingga menyandera pelanggaran potensial.
JSOF merekomendasikan mitigasi tambahan yang dapat ditetapkan dengan ISA3000, seperti memblokir fragmentasi IP, tunneling IP-in-IP, paket TCP yang rusak, pesan ICMP yang tidak digunakan, dan membatasi DHCP atau protokol lain yang tidak perlu.
Untuk informasi lebih lanjut tentang melindungi jaringan industri Anda, jelajahi IoT Security Hub atau hubungi Cisco untuk mendiskusikan solusi yang disesuaikan untuk lingkungan IoT/OT Anda.
