CISA-advies (ICSA-21-119-04)

19 augustus 2021 | Blog

Augustus 19th, 2021CyberHoot heeft een melding ontvangen van kritieke risico's voor onze nationale cyberveiligheid. CISA heeft een kritieke kwetsbaarheid openbaar gemaakt, bekend als "BadAlloc". Details over de kwetsbaarheden die zijn aangetroffen in meerdere realtime besturingssystemen (RTOS) en ondersteunende bibliotheken zijn beschikbaar. hierCyberHoot publiceert deze waarschuwing om onze klanten vroegtijdig op de hoogte te stellen van de gemelde kwetsbaarheden. Hiermee hopen we onze klanten te helpen bij het identificeren van risicovolle systemen en het snel en effectief upgraden/elimineren/repareren van de risico's. Dit verkleint uw risico op deze aanvallen. De kwetsbaarheden kunnen kwaadwillenden in staat stellen uw systemen te misbruiken door middel van code-injectie/-uitvoering op afstand of zelfs uw apparaat te laten crashen.

Betrokken systemen en kwetsbaarheden

Hieronder staan de systemen die door deze kwetsbaarheid worden getroffen. Voor meer informatie over de specifieke kwetsbaarheden voor elke tool kunt u terecht op https://cwe.mitre.org/data/definitions/190.html.

Amazon FreeRTOS, versie 10.4.1
Apache Nuttx OS, versie 9.1.0
ARM CMSIS-RTOS2, versies vóór 2.1.3
ARM Mbed OS, versie 6.3.0
ARM mbed-ualloc, versie 1.3.0
BlackBerry QNX SDP-versies 6.5.0 SP1 en eerder
BlackBerry QNX OS voor veiligheidsversies 1.0.1 en eerdere veiligheidsproducten die voldoen aan IEC 61508 en/of ISO 26262
BlackBerry QNX OS voor medische versies 1.1 en eerdere veiligheidsproducten die voldoen aan IEC 62304
- Een volledige lijst met de getroffen QNX-producten en -versies is beschikbaar beschikbaar Hier

Cesanta Software Mongoose-besturingssysteem, v2.17.0
eCosCentric eCosPro RTOS, versies 2.0.1 tot en met 4.5.3
Google Cloud IoT Device SDK, versie 1.0.2
Media Tek LinkIt SDK, versies vóór 4.6.1
Micrium OS, versie 5.10.1 en eerder
Micrium uC/OS: uC/LIB-versies 1.38.xx, versie 1.39.00
NXP MCUXpresso SDK, versies vóór 2.8.2
NXP MQX, versie 5.1 en eerder
Redhat newlib, versies vóór 4.0.0
RIOT OS, versie 2020.01.1
Samsung Tizen RT RTOS, versies vóór 3.0.GBB
TencentOS-tiny, versie 3.1.0
Texas Instruments CC32XX, versies vóór 4.40.00.07
Texas Instruments SimpleLink MSP432E4XX
Texas Instruments SimpleLink-CC13XX, versies vóór 4.40.00
Texas Instruments SimpleLink-CC26XX, versies vóór 4.40.00
Texas Instruments SimpleLink-CC32XX, versies vóór 4.10.03
Uclibc-NG, versies vóór 1.0.36
Windriver VxWorks, vóór 7.0
Zephyr Project RTOS, versies vóór 2.5

Wat kan je doen?

Hieronder vindt u oplossingen voor deze kwetsbaarheid op de verschillende systemen die het treft. Voor de meeste systemen zijn er updates/patches beschikbaar voor deze potentiële exploit. CyberHoot raadt u aan om direct te updaten als u deze tools gebruikt.

Amazon FreeRTOS – Update beschikbaar
Apache Nuttx OS versie 9.1.0 – Update beschikbaar
ARM CMSIS-RTOS2 – Update in uitvoering, verwacht in juni
ARM Mbed OS – Update beschikbaar
ARM mbed-ualloc – wordt niet langer ondersteund en er wordt geen oplossing uitgebracht
Blackberry QNX 6.5.0SP1 – Update beschikbaar. Zie openbare waarschuwing
BlackBerry QNX besturingssysteem voor veiligheid 1.0.2 – Update beschikbaar. Zie openbare waarschuwing
BlackBerry QNX-besturingssysteem voor medisch 1.1.1 – Update beschikbaar. Zie openbare waarschuwing
Cesanta Software mangoesten – Update beschikbaar
eCosCentric eCosPro RTOS: update naar versie 4.5.4 en nieuwer – Update beschikbaar
Google Cloud IoT-apparaat-SDK – Update beschikbaar
MediaTek LinkIt SDK – MediaTek zal de update aan gebruikers leveren. Er is geen oplossing voor de gratis versie, aangezien deze niet bedoeld is voor productief gebruik.
Micrium OS: Update naar v5.10.2 of later – Update beschikbaar
Micrium uCOS: uC/LIB-versies 1.38.xx, 1.39.00: update naar v1.39.1 – Update beschikbaar
NXP MCUXpresso SDK – Update naar 2.9.0 of later
NXP MQX – update naar 5.1 of nieuwer
Redhat newlib – Update beschikbaar
RIOT OS – Update beschikbaar
Samsung Tizen RT RTOS – Update beschikbaar
TencentOS-tiny – Update beschikbaar
Texas Instruments CC32XX – Update naar v4.40.00.07
Texas Instruments SimpleLink CC13X0 – Update naar v4.10.03
Texas Instruments SimpleLink CC13X2-CC26X2 – Update naar v4.40.00
Texas Instruments SimpleLink CC2640R2 – Update naar v4.40.00
Texas Instruments SimpleLink MSP432E4 – Bevestigd. Momenteel geen update gepland.
uClibc-ng – Update beschikbaar
Windriver VxWorks – Update in uitvoering
Zephyr Project: Update naar 2.5 of hogerPatches zijn beschikbaar voor eerdere ondersteunde versies. Zie de Zephyr beveiligingsadvies voor meer informatie.