【安全通告】TCP/IP协议库漏洞 AMNESIA:33

2020-12-08

综述

12月8日，Forescout研究实验室披露了四个开源TCP/IP软件库中共33个漏洞。这一系列漏洞被统称为 AMNESIA:33，受影响软件库分别是uIP（发现13个漏洞）、picoTCP（10个）、 FNET（5个）、和Nut/Net（5个）。

这些漏洞预计影响150多家供应商和数百万设备，涉及嵌入式设备的操作系统、芯片系统、网络设备、OT设备以及大量企业级和消费级物联网设备。

利用漏洞攻击者能够破坏设备、执行恶意代码、造成拒绝服务，此外还能窃取敏感信息。

其中4个严重级别的远程代码执行漏洞分别是：

CVE-2020-25111

DNS域名解码/DNS响应处理组件中的问题。

CVE-2020-24338

解析域名的函数缺乏边界检查，允许攻击者用伪造的DNS数据包破坏内存。

CVE-2020-24336

通过NAT64发送的DNS响应数据包中解析DNS记录的代码没有验证响应记录的长度字段，允许攻击者破坏内存。

CVE-2020-25112

对IPv4/IPv6头长度检查不足，对IPv6头扩展长度检查不一致，使攻击者可以破坏内存。

更完整漏洞列表详见：https://www.forescout.com/company/resources/amnesia33-how-tcp-ip-stacks-breed-critical-vulnerabilities-in-iot-ot-and-it-devices/

参考链接：

https://searchsecurity.techtarget.com/news/252493283/Forescout-reports-33-new-TCP-IP-vulnerabilities

https://www.forescout.com/research-labs/amnesia33/

受影响产品

uIP

picoTCP

FNET

Nut/Net

解决方案

Forescout已和受影响的供应商进行了沟通，GitHub的安全团队也在协助识别受影响的TCP/IP 仓库。不过据Forescout显示，只有Contiki-NG、PicoTCP-NG、FNET和Nut/Net项目针对漏洞发布了补丁，uIP、Contiki和PicoTCP项目尚未发布补丁。

除了在可能的情况下及时安装补丁更新外，建议采取如下缓解措施：

评估风险

在采取防护措施之前，进行彻底的风险评估。识别潜在易受攻击设备、业务环境及其重要性，以及它们的通信路径和互联网暴露情况。

依靠内部DNS服务器

尽可能依赖内部DNS服务器，并且密切监视外部DNS流量，因为AMNESIA:33中的几个漏洞与DNS客户端有关，它们被利用时需要恶意的DNS服务器回复恶意数据包。

禁用或阻止不必要的IPv6通信

由于AMNESIA:33中的多个漏洞与IPv6组件有关，因此请禁用或阻止不必要的IPv6网络流量。

网络分段

对于无法修补的IoT和OT设备，在不影响关键业务功能或业务运营的前提下，请使用分段以最大程度地减少其网络暴露。

监视格式错误的数据包

密切关注所有网络流量中格式错误的数据包（例如，不合格的数据包字段长度或校验和失败）。当检测到异常流量时，采取响应措施，并进行更严格的管控。

参考链接:

https://www.forescout.com/company/resources/amnesia33-faq/

https://www.forescout.com/company/resources/amnesia33-how-tcp-ip-stacks-breed-critical-vulnerabilities-in-iot-ot-and-it-devices/

声明

本安全公告仅用来描述可能存在的安全问题，海王捕鱼不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海王捕鱼以及安全公告作者不为此承担任何责任。海王捕鱼拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经海王捕鱼允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。