CISA 권고(ICSA-21-119-04)

2021년 8월 19일 | Blog

8월 19th, 2021: CyberHoot은 국가 사이버 보안에 심각한 위험을 알리는 보고를 받았습니다. CISA는 "BadAlloc"으로 알려진 심각한 취약점을 공개했습니다. 여러 실시간 운영 체제(RTOS)와 지원 라이브러리에서 발견된 취약점에 대한 자세한 정보를 확인하실 수 있습니다. 여기에서 확인하세요CyberHoot은 보고된 취약점을 조기에 알려 고객이 위험에 노출된 시스템을 식별하고 신속하고 효과적으로 위험을 업그레이드/제거/해결할 수 있도록 지원하기 위해 이 공지를 발표합니다. 이를 통해 이러한 공격 위험을 줄일 수 있습니다. 이러한 취약점은 악의적인 공격자가 원격 코드 삽입/실행을 통해 시스템을 악용하거나 기기를 손상시킬 수 있도록 허용할 수 있습니다.

영향을 받는 시스템 및 취약성

이 취약점으로 인해 영향을 받는 시스템은 다음과 같습니다. 각 도구의 특정 취약점에 대한 자세한 내용은 다음을 참조하세요. https://cwe.mitre.org/data/definitions/190.html

Amazon FreeRTOS, 버전 10.4.1
Apache Nuttx OS, 버전 9.1.0
ARM CMSIS-RTOS2, 2.1.3 이전 버전
ARM Mbed OS, 버전 6.3.0
ARM mbed-ualloc, 버전 1.3.0
BlackBerry QNX SDP 버전 6.5.0 SP1 및 이전 버전
IEC 61508 및/또는 ISO 26262를 준수하는 BlackBerry QNX OS for Safety 버전 1.0.1 및 이전 안전 제품
IEC 62304를 준수하는 의료용 BlackBerry QNX OS 버전 1.1 및 이전 안전 제품
- 영향을 받는 QNX 제품 및 버전의 전체 목록은 다음과 같습니다. 여기를 클릭하십시오.

Cesanta 소프트웨어 몽구스 OS, v2.17.0
eCosCentric eCosPro RTOS, 버전 2.0.1~4.5.3
Google Cloud IoT 기기 SDK, 버전 1.0.2
Media Tek LinkIt SDK, 4.6.1 이전 버전
Micrium OS, 버전 5.10.1 및 이전 버전
Micrium uC/OS: uC/LIB 버전 1.38.xx, 버전 1.39.00
NXP MCUXpresso SDK, 2.8.2 이전 버전
NXP MQX, 버전 5.1 및 이전 버전
Redhat newlib, 4.0.0 이전 버전
RIOT OS, 버전 2020.01.1
Samsung Tizen RT RTOS, 이전 버전 3.0.GBB
TencentOS-tiny, 버전 3.1.0
Texas Instruments CC32XX, 4.40.00.07 이전 버전
텍사스 인스트루먼트 SimpleLink MSP432E4XX
Texas Instruments SimpleLink-CC13XX, 4.40.00 이전 버전
Texas Instruments SimpleLink-CC26XX, 4.40.00 이전 버전
Texas Instruments SimpleLink-CC32XX, 4.10.03 이전 버전
Uclibc-NG, 1.0.36 이전 버전
Windriver VxWorks, 7.0 이전
Zephyr Project RTOS, 2.5 이전 버전

당신은 무엇을 할 수 있나요?

이 취약점이 영향을 미치는 다양한 시스템에서 적용할 수 있는 완화 조치는 다음과 같습니다. 대부분의 시스템에는 이 잠재적 악용에 대한 업데이트/패치가 제공됩니다. CyberHoot에서는 이러한 도구를 사용하는 경우 즉시 업데이트할 것을 권장합니다.

아마존 FreeRTOS – 사용 가능한 업데이트
Apache Nuttx OS 버전 9.1.0 – 사용 가능한 업데이트
ARM CMSIS-RTOS2 – 업데이트 진행 중, 6월 예정
ARM Mbed OS – 사용 가능한 업데이트
ARM mbed-ualloc – 더 이상 지원되지 않으며 수정 사항이 제공되지 않습니다.
블랙베리 QNX 6.5.0SP1 – 사용 가능한 업데이트. 공공 자문을 참조하세요
안전을 위한 Blackberry QNX OS 1.0.2 – 사용 가능한 업데이트. 공공 자문을 참조하세요
의료용 Blackberry QNX OS 1.1.1 – 사용 가능한 업데이트. 공공 자문을 참조하세요
Cesanta 소프트웨어 몽구스 – 사용 가능한 업데이트
eCosCentric eCosPro RTOS: 버전 4.5.4 이상으로 업데이트 – 사용 가능한 업데이트
Google Cloud IoT 장치 SDK – 사용 가능한 업데이트
Media Tek LinkIt SDK – MediaTek에서 사용자에게 업데이트를 제공할 예정입니다. 무료 버전은 프로덕션 용도로 제작되지 않았으므로 수정 사항이 없습니다.
Micrium OS: v5.10.2 이상으로 업데이트 – 사용 가능한 업데이트
Micrium uCOS: uC/LIB 버전 1.38.xx, 1.39.00: v1.39.1로 업데이트 – 사용 가능한 업데이트
NXP MCUXpresso SDK – 2.9.0 이상으로 업데이트하세요
NXP MQX – 5.1 이상으로 업데이트
Redhat newlib – 사용 가능한 업데이트
라이엇 OS – 사용 가능한 업데이트
삼성 타이젠 RT RTOS – 사용 가능한 업데이트
TencentOS-tiny – 업데이트 가능
Texas Instruments CC32XX – v4.40.00.07 업데이트
텍사스 인스트루먼트 SimpleLink CC13X0 – v4.10.03로 업데이트
텍사스 인스트루먼트 SimpleLink CC13X2-CC26X2 – v4.40.00로 업데이트
텍사스 인스트루먼트 SimpleLink CC2640R2 – v4.40.00로 업데이트
Texas Instruments SimpleLink MSP432E4 – 확인됨. 현재 업데이트 예정 없음
uClibc-ng – 사용 가능한 업데이트
Windriver VxWorks – 업데이트 진행 중
Zephyr 프로젝트: 업데이트 2.5 이상. 이전에 지원된 버전에 대한 패치가 제공됩니다. Zephyr를 참조하세요. 보안 권고