AG公司云
Treck TCP/IP协议库“Ripple20”误差通告与说明
2020-06-30
一. 误差概述
克日，以色列网络清静公司JSOF的研究职员在Treck公司开发的底层 TCP/IP 软件库中发明了19个0day误差，包括CVE-2020-11896、CVE-2020-11897、CVE-2020-11898、CVE-2020-11899、CVE-2020-11900、CVE-2020-11901、CVE-2020-11902、CVE-2020-11903、CVE-2020-11904、CVE-2020-11905、CVE-2020-11906、CVE-2020-11907、CVE-2020-11908、CVE-2020-11909、CVE-2020-11910、CVE-2020-11911、CVE-2020-11912、CVE-2020-11913、CVE-2020-11914。这些误差被JSOF命名为“Ripple20”。
Treck TCP/IP是专门为嵌入式系统设计的高性能TCP/IP协议套件，这一系列误差都为内存损坏问题，源于使用差别协议（包括IPv4，ICMPv4，IPv6，IPv6OverIPv4，TCP，UDP，ARP，DHCP，DNS或以太网链路层）在网络上发送的数据包的处置惩罚过失。“Ripple20”影响普遍领域的物联网装备，涉及HP、Schneider Electric、Cisco、Rockwell Automation、Caterpillar、Baxter等众多供应商，可能导致loT装备受到拒绝服务和远程下令执行等攻击。
误差原理剖析请参阅博客：“Ripple20”误差来袭，AG公司科技帮你做剖析
参考链接：
https://treck.com/vulnerability-response-information
https://www.jsof-tech.com/ripple20
二. 影响规模
受影响版本
l Treck TCP/IP = 6.0.1.66
l Treck TCP/IP = 6.0.1.41
l Treck TCP/IP = 6.0.1.28
l Treck TCP/IP = 5.0.1.35
l Treck TCP/IP = 4.7.1.27
不受影响版本
l Treck TCP/IP >= 6.0.1.67
三. 误差检测
3.1 版本检测
可通过针对代码资产举行核查，看是否使用了Treck的相关代码，并从源代码中审查软件版本是否在受影响规模。
针对二进制库文件，可以使用如下下令审查库文件的版本，确定是否使用了受影响的版本。
|
strings 驱动名称 | grep -e "[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}\.[0-9]\{1,3\}" |
3.2 产品检测
3.2.1 远程清静评估系统（RSAS）
AG公司科技远程清静评估系统（RSAS）已具备针对Treck协议的检测能力，请有安排装备的用户升级至最新版本使用。
|
|
升级包版本号 |
升级包下载链接 |
|
RSAS V6 系统插件包 |
V6.0R02F01.1901 |
http://update.nsfocus.com/update/downloads/id/106109 |
关于RSAS的设置指导，请参考如下链接：
https://mp.weixin.qq.com/s/aLAWXs5DgRhNHf4WHHhQyg
3.2.2 物联网准入网关
AG公司科技物联网准入网关，可以对物联网装备举行自动探测发明，形成物联网装备资产库，并能通过对流量举行剖析，形成攻击画像。
本次升级Treck误差指纹库后，可以自动探测内网使用Treck协议栈的物联网装备，并对这类装备爆发告警。
针对发明有Treck误差的装备，若是爆发攻击行为，物联网准入网关，还可以对装备举行网络阻断。
3.3 外地关联检测
AG公司科技威胁情报中心第一时间收录了此次误差的详细信息，包括误差成因、受影响的产品版本息争决计划等。误差CPE字段包括了可机读的影响产品字段，可以与用户外地资产治理库举行关联，从而识别是否保存有影响的装备。
四. 误差防护
4.1 官方升级
现在官方已在最新版本中修复了该误差，请相关用户排查基于Treck公司TCP/IP协议的装备使用情形，并实时升级至6.0.1.67或更高版本。
4.2 其他防护步伐
1、增强网络会见控制，榨取非须要装备接入互联网。设置网络清静防护战略，仅启用清静的远程会见，禁用IP隧道和IP源路由功效、强制执行TCP检查、阻断未使用的ICMP控制新闻等。针对物联网装备，榨取IP_IN_IP的会见方法。
2、通过深度数据包检查阻止异常IP流量，使用Suricata IDS自界说规则检测使用Ripple20误差的异常IP流量。
若是使用的防护装备可以自界说规则，则可添加如下规则举行防护：
|
#IP-in-IP tunnel with fragments alert ip any any -> any any (msg:"VU#257161:CVE-2020-11896 Fragments inside IP-in-IP tunnel"; ip_proto:4; fragbits:M; rev:1;) |
检测规则下载地点：https://github.com/CERTCC/PoC-Exploits/tree/master/vu-257161
3、请相关用户关注物联网装备厂商的软件更新通告，实时更新系统到最新版本。
五. AG公司涉及情形说明
克日，在获取到“Ripple20”误差的情形后，我司高度重视，第一时间组织了公司各产品线对所属产品举行排查。经由公司产品、研发、手艺职员的检测，确定我司所有产品不受“Ripple20”误差影响，特此说明，宴客户定心使用。
AG公司科技将一连跟进“Ripple20”误差的最新动态，请您关注AG公司科技的官网、官微的通告内容。若有问题，您可以通过以下方法联系AG公司:
您也可以通过公司官网举行在线咨询：/html/6/61/169
