Lỗ hổng thực thi mã từ xa BadAlloc ảnh hưởng đến nhiều thiết bị IoT và OT

[DDos]

Các nhà nghiên cứu của Microsoft gần đây đã tiết lộ hơn 25 lỗ hổng gây ảnh hưởng trên diện rộng đến các thiết bị Internet of Things (IoT) và Công nghệ vận hành (OT), được sử dụng trong các hệ thống công nghiệp, y tế và mạng doanh nghiệp. Các lỗ hổng này có thể bị tin tặc lợi dụng để thực thi mã tùy ý, thậm chí phá hoại các hệ thống quan trọng.

Các lỗ hổng được gọi chung là "BadAlloc", vì tồn tại trong các chức năng cấp phát bộ nhớ tiêu chuẩn được sử dụng rộng rãi trong các hệ điều hành thời gian thực (RTOS), bộ phát triển phần mềm nhúng (SDK) và triển khai thư viện tiêu chuẩn C (libc). Việc xác thực đầu vào không đầy đủ kết hợp với các chức năng cấp phát của bộ nhớ này có thể cho phép kẻ tấn công gây tràn bộ nhớ heap, dẫn đến việc thực thi mã độc hại trên thiết bị dính lỗ hổng.

Cơ quan an ninh cơ sở hạ tầng và an ninh mạng quốc gia Hoa Kỳ (CISA) cho biết: "Khai thác thành công các lỗ hổng này có thể dẫn đến các hành vi không mong muốn như lỗi hệ thống hoặc thực thi/tiêm mã từ xa". Cả Microsoft và CISA đều chưa công bố chi tiết về số lượng thiết bị bị ảnh hưởng bởi lỗ hổng này.

Danh sách toàn bộ các thiết bị ảnh hưởng bởi lỗ hổng BadAlloc bao gồm:

• Amazon FreeRTOS, phiên bản 10.4.1
• Apache Nuttx OS, phiên bản 9.1.0
• ARM CMSIS-RTOS2, các phiên bản từ 2.1.3 trở về trước
• ARM Mbed OS, phiên bản 6.3.0
• ARM mbed-uallaoc, phiên bản 1.3.0
• Cesanta Software Mongoose OS, v2.17.0
• eCosCentric eCosPro RTOS, từ phiên bản 2.0.1 đến phiên bản 4.5.3
• Google Cloud IoT Device SDK, phiên bản 1.0.2
• Linux Zephyr RTOS, các phiên bản 2.4.0 trở về trước
• MediaTek LinkIt SDK, các phiên bản 4.6.1 trở về trước
• Micrium OS, từ các phiên bản 5.10.1 trở về trước
• Micrium uCOS II/uCOS III từ các phiên bản 1.39.0 trở về trước
• NXP MCUXpresso SDK, từ các phiên bản trước 2.8.2
• NXP MQX, từ các phiên bản 5.1 trở về trước
• Redhat newlib, các phiên bản trước 4.0.0
• RIOT OS, phiên bản 2020.01.1
• Samsung Tizen RT RTOS, các phiên bản trước 3.0.GBB
• TencentOS-tiny, phiên bản 3.1.0
• Texas Instruments CC32XX, các phiên bản 4.40.00.07 trở về trước
• Texas Instruments SimpleLink MSP432E4XX
• Texas Instruments SimpleLink-CC13XX, từ các phiên bản trở về trước đến 4.40.00
• Texas Instruments SimpleLink-CC26XX, các phiên bản 4.40.00 trở về trước
• Texas Instruments SimpleLink-CC32XX, các phiên bản trước 4.10.03
• Uclibc-NG, các phiên bản trước 1.0.36
• Windriver VxWorks, các phiên bản trước 7.0

Microsoft cho biết hãng chưa tìm thấy bằng chứng cho thấy các lỗ hổng này bị khai thác, dù các bản vá đã được phát hành có thể cho phép kẻ tấn công sử dụng kỹ thuật "patch diffing" (so sánh các bản vá và tìm ra sự khác biệt) để dịch ngược các bản sửa lỗi và lợi dụng nó để tìm ra các lỗ hổng mới.

Để giảm thiểu nguy cơ bị khai thác các lỗ hổng này, CISA khuyến cáo các tổ chức áp dụng các bản cập nhật của nhà cung cấp càng sớm càng tốt, thiết lập tường lửa và cách ly mạng hệ thống khỏi mạng doanh nghiệp và hạn chế sự kết nối của các thiết bị hệ thống điều khiển ra ngoài Internet.

Theo The Hacker News​