Des chercheurs en sécurité ont découvert une poignée de vulnérabilités révolutionnaires qui causent des problèmes à des dizaines de fournisseurs d’appareils connectés et à leurs clients. Mardi cette semaine, la société de sécurité JSOF a dévoilé 19 CVE – dont quatre failles critiques d’exécution de code à distance – dans une bibliothèque logicielle de réseau de bas niveau qui rend des millions d’appareils vulnérables.
Étiquetant la découverte Ripple20, les chercheurs ont déclaré que les bogues permettaient aux attaquants de prendre le contrôle des appareils connectés à Internet, puis de se cacher sans être détectés pendant des années. D’autres risques incluent des infections de masse à l’intérieur d’un réseau utilisant un appareil piraté comme point d’ancrage, a déclaré leur analyse de vulnérabilité. Aucune interaction utilisateur n’est nécessaire pour qu’un pirate informatique prenne le contrôle de votre réseau à l’aide de ces failles.
Entrer en contact avec les fournisseurs a été une priorité pour JSOF, qui a déclaré que 15 étaient touchés hier, notamment Cisco, HP et Schneider Electric. 57 autres enquêtaient toujours sur l’effet sur leurs produits, notamment EMC, GE, Broadcom et NVIDIA. AMD, Philips et Texas Instruments n’ont pas été touchés (du moins, selon leurs propres rapports).
Le développeur Treck, Inc était à l’origine de ces bogues (et les a corrigés). Il y a deux décennies, la société a écrit une bibliothèque TCP / IP de bas niveau qu’elle a concédée sous licence à d’autres fournisseurs. Des centaines de millions d’appareils sont désormais menacés en raison des bogues. Selon JSOF, même la recherche des fabricants et des produits utilisant le code était un défi majeur. Désormais, ils devront intégrer le logiciel mis à jour dans leurs produits et mettre à jour les anciens si possible.
Empêcher de nouveaux bugs de faire du mal est déjà assez grave, mais lorsqu’un morceau de code a percolé en d’innombrables produits, entraînant des défauts critiques, c’est un problème beaucoup plus grave. Votre plus gros problème à ce stade est d’obtenir les correctifs de code que vous parvenez à créer sur le terrain.
Seuls les détails de base de ces bogues sont disponibles aujourd’hui, mais les chercheurs publieront deux autres livres blancs après BlackHat USA cette année, montrant comment ils ont réussi à exploiter certains des bogues pour éteindre un onduleur Schneider Electric.
Jusque-là, la société a répertorié quelques conseils pour les fournisseurs d’appareils et les opérateurs de réseau, leur montrant comment protéger les équipements qu’ils ne peuvent pas mettre à jour immédiatement.