グレート・グローバル・パッチ：VxWorksの欠陥により数百万台のデバイスが危険にさらされる
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
VxWorksは平均的な消費者にはあまり知られていませんが、このソフトウェア製品は、あなたや私と同じように、毎日多くの人々にメリットをもたらしています。そして今、私たちは何億台ものVxWorks搭載デバイスが危険にさらされている可能性に直面しています。
Directeur général, président et cofondateur
Secure Code Warrior vous assiste dans la protection de votre code tout au long du cycle de vie du développement logiciel et dans la création d'une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, responsable de la sécurité des systèmes d'information ou professionnel de la sécurité, nous vous aidons à réduire les risques liés au code non sécurisé.
Veuillez réserver une démonstration.
Directeur général, président et cofondateur
Pieter Danhieux est un expert en sécurité mondialement reconnu, avec plus de 12 ans d'expérience en tant que consultant en sécurité et 8 ans en tant qu'instructeur principal pour SANS, enseignant des techniques offensives sur la façon de cibler et d'évaluer les organisations, les systèmes et les individus pour les faiblesses de sécurité. En 2016, il a été reconnu comme l'une des personnes les plus cool d'Australie dans le domaine de la technologie (Business Insider), a reçu le prix du professionnel de la cybersécurité de l'année (AISA - Australian Information Security Association) et détient les certifications GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
Veuillez cliquer sur le lien ci-dessous pour télécharger le PDF de cette ressource.
Secure Code Warrior vous assiste dans la protection de votre code tout au long du cycle de vie du développement logiciel et dans la création d'une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, responsable de la sécurité des systèmes d'information ou professionnel de la sécurité, nous vous aidons à réduire les risques liés au code non sécurisé.
Afficher le rapportVeuillez réserver une démonstration.
Directeur général, président et cofondateur
Pieter Danhieux est un expert en sécurité mondialement reconnu, avec plus de 12 ans d'expérience en tant que consultant en sécurité et 8 ans en tant qu'instructeur principal pour SANS, enseignant des techniques offensives sur la façon de cibler et d'évaluer les organisations, les systèmes et les individus pour les faiblesses de sécurité. En 2016, il a été reconnu comme l'une des personnes les plus cool d'Australie dans le domaine de la technologie (Business Insider), a reçu le prix du professionnel de la cybersécurité de l'année (AISA - Australian Information Security Association) et détient les certifications GSE, CISSP, GCIH, GCFA, GSEC, GPEN, GWAPT, GCIA.
一方 VxWorks 平均的な消費者にはあまり馴染みのない名前ですが、このソフトウェア製品は、あなたや私のような多くの人々に毎日利益をもたらすことは避けられません。世界で最もポピュラーなリアルタイムオペレーティングシステム (RTOS) であるこの製品は、エンタープライズネットワークやファイアウォール、航空宇宙インターフェース、産業機器、さらには一部の医療機器に電力を供給するために、(プロキシ経由で) 私たちが頼りにしている主力製品であり、その用途が広く使われている例をいくつか挙げてみます。
そして今、私たちは、そうでなくても何億人もの可能性に直面しています。 数十億、これらのデバイスのうち、現在少なくとも11の脆弱性が侵害されています。ウインドリバーのチーフセキュリティアーキテクトであるアーレン・ベイカーは、以下の記事でこの件数に異議を唱えています。 検索セキュリティ、正確な範囲を明らかにすることは未確認であり、それほど高いとは考えられていません。それにもかかわらず、データ侵害や攻撃は常に発生していることはすでにわかっていますが、これは次のレベルです。確認された欠陥は比較的簡単に悪用され、攻撃者はネットワークパケットの送信を通じてデバイスをリモートで制御できるようになります。
もちろん、Wind Riverは影響を受けた顧客やアソシエイトに一連の修正とパッチをリリースしました。問題は、パッチアップデートを必要とするデバイスの数が非常に多いことにあります。サノスが指一発で世界を終わらせるのと同じように、まさにそうです。 避けられない その数のデバイスはパッチが適用されないままになり、長期間にわたって脆弱になります。
セキュリティ会社 アーミス この巨大な発見の背後にいたのは彼らの発見だと言って 緊急/11。複数の媒介動物からの攻撃が容易であることと、広範囲に及ぶ感染の可能性があることからも、深刻な感染が確認されたことは間違いありません。MRI スキャナーや VoIP 製品から、鉄道ネットワークや信号機に至るまで、あらゆるものを支えるソフトウェアにワームを作成して展開することは完全に可能です。
パニックになる時間ですか？
セキュリティ意識向上を人生の重要な使命としてきた者として、私は日常的に潜在的なセキュリティ問題をたくさん目の当たりにしています。パニックに陥りすぎると、1 日の大半をヒステリックな状態で過ごしてしまいます (結局のところ、むしろ教育やバグ修正の手伝いをする仕事に取り掛かりたいのです!)。しかし、URGENT/11の調査結果の範囲はかなり怖いです。見つかった 11 件の脆弱性のうち、6 件が重大と見なされています。として ハッカーニュース これらの欠陥は、バージョン6.5以降（VxWorks 653やVxWorks Cert Editionなどの認証用に設計されたバージョンを除く）VxWorksを実行しているデバイスに存在していたことが確認されています。つまり、一部の重要なテクノロジーは、10年以上にわたってデバイス乗っ取り攻撃の脅威にさらされてきました。すべてのデバイスが11の欠陥すべてに対して脆弱であるわけではなく（攻撃者が同じLABサブネットにいる場合にのみ悪用されるものもあります）、凡庸なハッカーでも必要なのはほんの少しの機会だけです。
Wind Riverには 迅速に行動し、詳細なアドバイスを提供しました アーミスがそうであるように、問題の軽減についてです。そして、VxWorks RTOSは非常に広く採用されています。 なぜなら 非常に信頼性が高く、ソフトウェア安全規制のスコアも高くなっています。通常、バグバウンティハンターはあまり気にしません。しかし、セキュリティ企業とウインドリバーがこの問題を解決するためにできることは限られています。パッチをダウンロードし、セキュリティアドバイスに耳を傾け、自社のデバイスを強化するのはエンドユーザーの手に委ねられており、そこが難しいところです。
まだ慌てる必要はないかもしれないが、この獣と格闘して服従させるには村が必要かもしれない。
緊急/11の脆弱性の説明
この時点で、バージョン6.5以降の侵害されたVxWorks TCP/IP IPNetスタックに接続されているすべてのデバイスが、少なくとも1つのURGENT/11の影響を受ける可能性があります。(ウインドリバーの CVE の全リストについては、以下を参照してください) ここに)。
ほとんどの場合、これらの欠陥によりリモートコード実行（RCE）攻撃やサービス拒否攻撃が可能になり、その一部が情報漏洩につながり、 ビジネスロジック 問題も。この場合、攻撃者はエンドユーザーの操作なしにデバイスの制御を乗っ取ることができるため、リモートコード実行は特にデリケートな問題です。疑わしいものを誤ってクリックしたり、何かをダウンロードしたり、詳細を入力したりする必要はありません。これにより、VxWorksデバイスは高度に「ワーム可能」になり、攻撃自体が自動的に実行されます。EternalBlueの製品を思い出してください ワナクライ ワーム?URGENT/11も同様ではあるが壊滅的な可能性を秘めており、世界規模の悩みの種となっている。
私たちはそれについて何ができるでしょうか？
さて、これを書いている時点では、URGENT/11の結果は不明のままです。メディアは業界に認識を示しており、ウインドリバーは明らかに影響を受けた人々を支援しています。今後数か月で、攻撃者がこれらの既知の欠陥を有意義な方法で悪用するかどうか明らかになりますが、それまでの間、明らかな解決策は、大量のアドバイスに耳を傾け、軌道上の関連デバイスにパッチを適用することです。
長期的に見ても、使命は変わりません。ソフトウェアセキュリティに関しては、誰もがもっとうまくやる必要があるということです。URGENT/11 CVEは、一般的に、簡単に通り抜けることができるように心配なほどシンプルなバックドアであり、長年にわたって発見されなかったという事実は、業界全体の懸念と認識がかなり低いことの証です。
すべての開発者には自分の役割を果たす機会があり、本番環境の最初からコードを保護する方法を学ぶためのサポートが必要です。アプリケーションセキュリティから経営幹部に至るまで、周囲の影響力のあるチームが、ビジネス内のあらゆるソフトウェアタッチポイントでポジティブなセキュリティ文化を確実に浸透させることができます。
自分のセキュリティ意識を試してみませんか？当社のゲーミフィケーションプラットフォームでは、URGENT/11 で発見されたものと同様の実際のコード課題が発生する可能性があります。それらをチェックして、どうなるか見てみましょう。
- DHCP オファーのヒープオーバーフロー/ipdhcpc の ACK 解析のヒープオーバーフロー（CVE-2019-12257）
メモリ破損-ヒープオーバーフロー - 不正な形式の TCP オプションによる TCP 接続 DoS（攻撃拒否）（CVE-2019-12258）
トランスポート層保護が不十分-機密情報の無防備な転送 - ipdhcpc DHCP クライアントによる IPv4 割り当てにおける論理的な欠陥（CVE-2019-12264）
ビジネスロジックの欠陥 - IGMP 解析におけるヌルデリファレンス経由の DoS 攻撃 (CVE-2019-12259)
メモリ破損-NULL デリファレンス - IGMPv3 固有のメンバーシップレポートによる IGMP 情報の漏えい（CVE-2019-12265）
情報漏えい-機密データ漏えい
Table des matières
Directeur général, président et cofondateur
Secure Code Warrior vous assiste dans la protection de votre code tout au long du cycle de vie du développement logiciel et dans la création d'une culture qui accorde la priorité à la cybersécurité. Que vous soyez responsable de la sécurité des applications, développeur, responsable de la sécurité des systèmes d'information ou professionnel de la sécurité, nous vous aidons à réduire les risques liés au code non sécurisé.
Veuillez réserver une démonstration.[Télécharger]Ressources pour débuter
Sujets et contenu de la formation sur le code sécurisé
Notre contenu, leader dans le secteur, évolue constamment en fonction de l'environnement de développement logiciel en constante mutation, tout en tenant compte du rôle de nos clients. Il couvre tous les sujets, de l'IA à l'injection XQuery, et s'adresse à divers rôles, des architectes et ingénieurs aux chefs de produit et responsables de l'assurance qualité. Nous vous invitons à consulter le catalogue de contenu pour découvrir son contenu par sujet et par rôle.
La Chambre de commerce établit la norme en matière de sécurité à grande échelle axée sur les développeurs
La Chambre de commerce néerlandaise explique comment elle a intégré le codage sécurisé dans le développement quotidien grâce à des certifications basées sur les rôles, à l'évaluation comparative du Trust Score et à une culture de responsabilité partagée en matière de sécurité.
%20(1).avif)
.avif)
Modélisation des menaces avec l'IA : transformer chaque développeur en modélisateur de menaces
Vous repartirez mieux équipé pour aider les développeurs à combiner les idées et les techniques de modélisation des menaces avec les outils d'IA qu'ils utilisent déjà pour renforcer la sécurité, améliorer la collaboration et créer des logiciels plus résilients dès le départ.
Ressources pour débuter
Cybermon est de retour : la mission IA consistant à vaincre le boss est désormais disponible à la demande.
Cybermon 2025 Beat the Boss est désormais disponible toute l'année sur SCW. Renforcez considérablement le développement sécurisé de l'IA en introduisant des défis de sécurité avancés en matière d'IA/LLM.
Explication de la loi sur la cyber-résilience : implications pour le développement de logiciels sécurisés dès la conception
Découvrez les exigences de la loi européenne sur la résilience cybernétique (CRA), à qui elle s'applique et comment les équipes d'ingénierie peuvent se préparer en matière de pratiques de sécurité dès la conception, de prévention des vulnérabilités et de développement des compétences des développeurs.
Facilitateur 1 : Critères de réussite prédéfinis et mesurables
Enabler 1 est le premier volet d'une série de dix intitulée « Enablers of Success » (Les catalyseurs de la réussite). Il présente comment associer le codage sécurisé à des résultats commerciaux tels que la réduction des risques et l'accélération des processus afin de faire évoluer le programme à long terme.
