Schwachstellen in TCP/IP-Stacks gefährden IoT-Geräte, wie Drucker oder medizinische Geräte. Auch deutsche Unternehmen sind gefährdet.
Was ist passiert?
In einer weit verbreiteten Software wurden neun Schwachstellen von mittlerem bis kritischem Schweregrad durch Sicherheitsforscher der Firma JSOF und den Forescout Research Labs entdeckt. Die identifizierten Schwachstellen werden als “NAME:WRECK” bezeichnet. Betroffen sind die Betriebssysteme “FreeBSD”, “IPNet”, “Nucleus NET” (Siemens) und “NetX”. Diese werden häufig in zwei Arten von Geräten verwendet:
- Solche, die Technologie zur Steuerung und Überwachung physischer Maschinen und industrieller Anlagen einsetzen (Operational Technology).
- Geräte, die über das Internet Daten senden und empfangen können (Internet of Things).
Dabei kann es sich zum Beispiel um Computer, Drucker, intelligente Uhren und Netzwerkgeräte handeln, aber auch um Gebäudeautomation, Betriebstechnik, VoIP, medizinische Geräte, Systems-on-a-Chip, Energie- und Leistungsgeräte in industriellen Steuerungssystemen.
Der weit verbreitete Einsatz der Software und die Zugriffsmöglichkeit über das Internet führen zu einer deutlich erhöhten Angriffsfläche. Es wird angenommen, dass um die 100 Millionen Geräte betroffen sind. Deutschland ist laut Forescout-Bericht unter den 5 Top-Ländern mit identifizierten exponierten Geräten, auf denen Nucleus NET und FreeBSD verwendet wird. Vor allem der Gesundheitssektor und Bereiche mit industriellen Herstellungsprozessen sind gefährdet.
Welche Risiken bestehen durch die Ausnutzung von NAME:WRECK für mein Unternehmen?
Wenn die Angreifer die Schwachstellen erfolgreich ausnutzen, besteht die Möglichkeit, dass die anvisierten Geräte offline genommen werden. Schlimmstenfalls kann der Angreifer – unautorisiert und unbemerkt durch den Benutzer – die Kontrolle über die Geräte erlangen.
Weitere Hintergründe zur Bedrohung durch NAME:WRECK
Betroffen von den Schwachstellen sind die DHCP und DNS-Implementierungen der TCP/IP-Stacks der vier erwähnten Betriebssysteme. Das TCP/IP-Modell hilft Ihnen dabei, zu bestimmen, wie ein bestimmtes System mit dem Internet verbunden werden soll und wie die Daten übertragen werden sollen.
FreeBSD
Wie die Forscher in ihrem Bericht darlegen, ist FreeBSD weithin dafür bekannt, in Millionen von IT-Netzwerken für Hochleistungsserver eingesetzt zu werden – darunter auf großen Webseiten wie Netflix und Yahoo. Zu den häufigsten Gerätetypen in der Device Cloud, auf denen FreeBSD läuft, gehören Computer, Drucker und Netzwerkgeräte.
Nucleus NET
Nucleus NET wird wiederum in zahlreichen IoT- und OT-Geräten verwendet. Die häufigsten Gerätetypen unter Nucleus sind Gebäudeautomation, Betriebstechnik und VoIP.
NetX
NetX wird in der Regel mit dem RTOS ThreadX betrieben. Typische Anwendungen sind medizinische Geräte, Systems-on-a-Chip und verschiedene Druckermodelle. Zu den häufigsten Gerätetypen, auf denen ThreadX läuft, gehören Drucker, intelligente Uhren und Energie- und Leistungsgeräte in industriellen Steuerungssystemen.
Diese Geräte und die dazugehörigen Branchen sind voraussichtlich am stärksten gefährdet. NAME:WRECK scheint somit eher eine Bedrohung für große Organisationen zu sein.
Glücklicherweise sind nicht alle Versionen anfällig für die von den Forschern als NAME:WRECK bezeichnete Bedrohung.
Im Forescout-Bericht finden Sie weitere Hintergründe zu dem Thema.
Was kann ich tun?
- Überprüfen Sie zunächst, ob Ihr Unternehmen die oben genannte Software/Firmware verwendet. Wenn das Unternehmen ein bestimmtes medizinisches Gerät oder Gebäudeautomationssystem verwendet, empfiehlt es sich, die Spezifikationen dieses Geräts zu überprüfen und im Zweifelsfall den Geräteanbieter zu kontaktieren.
- Überprüfen Sie, ob Ihre Version betroffen ist. Die neun von den Forschern identifizierten Schwachstellen finden Sie auf Seite 7 des Forescout-Berichts. Um beispielsweise Ihre Version von FreeBSD zu identifizieren, folgen Sie den Anweisungen.
- Wenn die Software auf einem Ihrer Geräte festgestellt wird, muss diese auf die neueste Version aktualisiert werden. Alle Hersteller der im Bericht identifizierten verwundbaren TCP/IP-Stacks wurden über diese Schwachstellen informiert und haben sie entsprechend gepatcht.
- Zu den allgemein empfohlenen Abhilfemaßnahmen für NAME:WRECK gehören die Begrenzung der Netzwerk-Exposition kritischer anfälliger Geräte durch Netzwerksegmentierung,
- Greifen Sie auf interne DNS-Server zurück.
- Gerätehersteller, die diese Software verwenden, sollten ihren Kunden eigene Updates zur Verfügung stellen. Es ist wichtig, daran zu denken, dass der vollständige Schutz vor NAME:WRECK das Patchen von Geräten erfordert, auf denen die anfälligen Versionen der TCP/IP-Stacks laufen.
- Wenn das Patchen für Sie nicht möglich ist oder wenn Sie Fragen haben, können Sie sich als Kunde unserer Notfallhilfe jederzeit an Perseus wenden.