Ein Forscherteam des Softwareherstellers Armis hat insgesamt elf kritische Sicherheitslücken im Echtzeitbetriebssystem VxWorks entdeckt. Sie blieben teilweise bis zu 13 Jahre lang unentdeckt und betreffen dementsprechend zahlreiche Versionen – nicht allerdings die aktuelle VxWorks 7 (SR620). Sechs der Lücken, die Armis unter der Bezeichnung "URGENT/11" zusammenfasst, gelten als kritisch und könnten von entfernten Angreifern ohne jede Nutzerinteraktion missbraucht werden, um auf verwundbaren Geräten Code auszuführen (Remote Code Execution). Die übrigen Lücken erlauben unter bestimmten Voraussetzungen unter anderem die Durchführung von Denial-of-Service-Angriffen und das Abgreifen vertraulicher Informationen. In einem Blogeintrag beschreibt das Armis-Team die Lücken im Detail. Es gibt an, dass VxWorks weltweit auf mehr als 2 Milliarden Geräten (z.B. Firewalls, IP-Telefone, Druckern) laufe und unter anderem auch in industriellen Steuerungssystemen sowie im medizinischen Bereich (z.. B. Patientenmonitore, MRT) zum Einsatz komme. Der Hersteller Wind River selbst bewirbt VxWorks als besonders stabiles, sicheres und performantes Betriebssystem für die "kritischsten Infrastrukturen". Armis: Schwachstellen sind "wormable" Laut Armis betreffen die Schwachstellen ausnahmlos den TCP/IP-Stack (IPNet). Gefährlich sei vor allem, dass auf den Schwachstellen basierende Exploits Firewalls umgehen könnten, aber auch auf weitere Geräte innerhalb desselben Netzwerks anwendbar seien. Dies mache URGENT/11 "wormable", ermögliche also unter Umständen die Verbreitung von Malware im Netzwerk. Armis zieht gar einen Vergleich zu EternalBlue – den Exploit, über den die Ransomware WannaCry verbreitet wurde. Angaben zu aktiven Angriffen über die Sicherheitslücken macht Armis nicht. VxWorks: Betroffene Versionen und Updates VxWorks-Entwickler Wind River hat eine Sicherheitswarnung veröffentlicht und rät zum umgehenden Einspielen der darin verlinkten Patches für das Betriebssystem. Von mindestens einer, teils auch mehreren Schwachstellen betroffen sind laut Wind River VxWorks 6.5 bis einschließlich 6.9.4.11, VxWorks 7 (SR540 and SR610) sowie Versionen von VxWorks, die den "Interpeak standalone network stack" verwenden. Weiterhin sei es wahrscheinlich, dass auch alle Versionen des nicht mehr fortgeführten Produkts Wind River Advanced Networking Technologies betroffen seien. Wind River betont, dass die diesen Monat erschienene aktuelle Version VxWorks 7 (SR620) abgesichert ist. Weitere Details zu verwundbaren und nicht verwundbaren Versionen nennt der Hersteller in einem separaten, detaillierten Sicherheitshinweis. Patches von SonicWALL und Xerox SonicWALL und Xerox haben als Hersteller VxWorks-basierter Geräte eigene Sicherheitshinweise nebst Updates veröffentlicht. Offenbar beeinträchtigen die VxWorks-Schwachstellen auch SonicWALLS Betriebssystem SonicOS. heise Security hatte bereits gestern auf ein Security Advisory und Updates von SonicWALL hingewiesen. Allerdings war aus SonicOS' Advisory und einer zweiten Veröffentlichung nicht ersichtlich, dass ein Zusammenhang zwischen den darin nur sehr knapp beschriebenen Schwachstellen und "URGENT/11" besteht. Armis' Blogeintrag verweist jedoch auf diese Dokumente. Xerox' Sicherheitshinweis zu URGENT/11 geht dagegen sehr ausführlich auf die Schwachstellen ein. Als mit Gewissheit betroffen nennt der Hersteller bislang die Geräte Phaser 3315/3325, Phaser 3330, Phaser 3600, Phaser 3635 MFP, Phaser 4600/4620/4622, WorkCentre 3025, WorkCentre 3210/3220, WorkCentre 3215/3225, WorkCentre 3335/3345, WorkCentre 4250/4260, WorkCentre 4265, und Xerox B1022/B1025. Updates hat Xerox in seinem Download-Center bereitgestellt. Laut Armis läuft VxWorks unter anderem auch auf Geräten von Siemens, ABB, Emerson Electric, Rockwell Automation, Mitsubishi Electronic, Samsung, Ricoh, Xerox, NEC, and Arris. Betreiber möglicherweise betroffener Geräte sollten Ausschau nach herstellerspezifischen Updates halten. CVE-Nummern, PoCs und weitere Infos Wind River hat separate Sicherheitshinweise zu den elf Schwachstellen veröffentlicht: Detaillierte Informationen zu den Schwachstellen sowie drei Proof-of-Concept-Videos liefert Armis' Blogpost zu URGENT/11. Außerdem hat das Canadian Centre for Cybersecurity eine Zusammenfassung veröffentlicht. (ovw) Zur Startseite

weiterlesen: RSS Quelle öffnen