Nasihat CISA (ICSA-21-119-04)

Ogos 19th, 2021: CyberHoot telah menerima pemberitahuan tentang risiko kritikal terhadap keselamatan siber negara kita. Kerentanan kritikal telah didedahkan kepada umum oleh CISA, yang dikenali sebagai "BadAlloc". Butiran tentang kelemahan yang terdapat dalam berbilang sistem pengendalian masa nyata (RTOS) dan perpustakaan sokongan tersedia di sini. CyberHoot mengeluarkan nasihat ini untuk memberikan notis awal tentang kelemahan yang dilaporkan dengan harapan dapat membantu pelanggan kami dalam mengenal pasti sistem berisiko dan menaik taraf/menghapuskan/membetulkan risiko dengan cepat dan berkesan. Melakukannya akan mengurangkan risiko serangan ini. Kerentanan mungkin membenarkan pelakon berniat jahat untuk mengeksploitasi sistem anda menggunakan suntikan/pelaksanaan kod jauh atau hanya merosakkan peranti anda. 

Sistem Terjejas dan Keterdedahan

Berikut adalah sistem yang terjejas akibat kelemahan ini. Untuk maklumat lanjut tentang kelemahan khusus untuk setiap alat, layari https://cwe.mitre.org/data/definitions/190.html untuk maklumat lanjut.

• Amazon FreeRTOS, Versi 10.4.1
• Apache Nuttx OS, Versi 9.1.0 
• ARM CMSIS-RTOS2, versi sebelum 2.1.3
• ARM Mbed OS, Versi 6.3.0
• ARM mbed-ualloc, Versi 1.3.0
• BlackBerry QNX SDP Versi 6.5.0 SP1 dan lebih awal
• BlackBerry QNX OS for Safety Versions 1.0.1 dan produk keselamatan terdahulu yang mematuhi IEC 61508 dan/atau ISO 26262
• BlackBerry QNX OS untuk Versi Perubatan 1.1 dan produk keselamatan terdahulu yang mematuhi IEC 62304
  • Senarai penuh produk dan versi QNX yang terjejas ialah boleh didapati di sini

• Cesanta Software Mongoose OS, v2.17.0
• eCosCentric eCosPro RTOS, Versi 2.0.1 hingga 4.5.3
• SDK Peranti IoT Awan Google, Versi 1.0.2
• Media Tek LinkIt SDK, versi sebelum 4.6.1
• Micrium OS, Versi 5.10.1 dan sebelumnya
• Micrium uC/OS: uC/LIB Versi 1.38.xx, Versi 1.39.00
• NXP MCUXpresso SDK, versi sebelum 2.8.2
• NXP MQX, Versi 5.1 dan sebelumnya
• Redhat newlib, versi sebelum 4.0.0
• RIOT OS, Versi 2020.01.1 
• Samsung Tizen RT RTOS, versi sebelum 3.0.GBB
• TencentOS-kecil, Versi 3.1.0
• Texas Instruments CC32XX, versi sebelum 4.40.00.07
• Texas Instruments SimpleLink MSP432E4XX
• Texas Instruments SimpleLink-CC13XX, versi sebelum 4.40.00
• Texas Instruments SimpleLink-CC26XX, versi sebelum 4.40.00
• Texas Instruments SimpleLink-CC32XX, versi sebelum 4.10.03
• Uclibc-NG, versi sebelum 1.0.36 
• Widriver VxWorks, sebelum 7.0
• Zephyr Project RTOS, versi sebelum 2.5

Apa yang kau boleh buat?

Di bawah ialah mitigasi untuk kelemahan ini pada pelbagai sistem yang dipengaruhinya. Majoriti sistem mempunyai kemas kini/tampalan yang tersedia untuk eksploitasi yang berpotensi ini. CyberHoot mengesyorkan anda mengemas kini dengan segera jika anda menggunakan alat ini. 

• Amazon FreeRTOS – Kemaskini ada
• Apache Nuttx OS Versi 9.1.0 – Kemaskini ada
• ARM CMSIS-RTOS2 – Kemas kini sedang dijalankan, dijangka pada bulan Jun
• ARM Mbed OS – Kemaskini ada
• ARM mbed-ualloc – tidak lagi disokong dan tiada pembetulan akan dikeluarkan
• Blackberry QNX 6.5.0SP1 – Kemaskini ada. Lihat nasihat awam
• Blackberry QNX OS for Safety 1.0.2 – Kemaskini ada. Lihat nasihat awam
• Blackberry QNX OS untuk Perubatan 1.1.1 – Kemaskini ada. Lihat nasihat awam
• Cesanta Software luwak – Kemaskini ada 
• eCosCentric eCosPro RTOS: Kemas kini kepada Versi 4.5.4 dan lebih baharu – Kemaskini ada
• SDK Peranti IoT Awan Google – Kemaskini ada
• Media Tek LinkIt SDK – MediaTek akan menyediakan kemas kini kepada pengguna. Tiada pembetulan untuk versi percuma, kerana ia tidak bertujuan untuk kegunaan pengeluaran. 
• OS Micrium: Kemas kini kepada v5.10.2 atau lebih baru – Kemaskini ada
• Micrium uCOS: uC/LIB Versi 1.38.xx, 1.39.00: Kemas kini kepada v1.39.1 – Kemaskini ada
• NXP MCUXpresso SDK – Kemas kini kepada 2.9.0 atau lebih baru 
• NXP MQX – kemas kini kepada 5.1 atau lebih baharu
• Redhat newlib – Kemaskini ada
• RIOT OS – Kemaskini ada
• Samsung Tizen RT RTOS – Kemaskini ada
• TencentOS-tiny – Kemas kini tersedia
• Texas Instruments CC32XX – Kemas kini kepada v4.40.00.07
• Texas Instruments SimpleLink CC13X0 – Kemas kini kepada v4.10.03
• Texas Instruments SimpleLink CC13X2-CC26X2 – Kemas kini kepada v4.40.00
• Texas Instruments SimpleLink CC2640R2 – Kemas kini kepada v4.40.00
• Texas Instruments SimpleLink MSP432E4 – Disahkan. Tiada kemas kini yang dirancang pada masa ini
• uClibc-ng – Kemaskini ada
• Widriver VxWorks – Kemas kini sedang dijalankan
• Projek Zephyr: Kemas kini kepada 2.5 atau lebih baru. Patch tersedia untuk versi yang disokong sebelumnya. Lihat Zephyr nasihat keselamatan untuk maklumat lanjut.

Sumber

Ketahui cara CyberHoot boleh menjamin perniagaan anda.

Jadualkan demo