Sources

https://www.jsof-tech.com/ripple20/
https://www.us-cert.gov/ics/advisories/icsa-20-168-01
https://thehackernews.com/2020/06/new-critical-flaws-put-billions-of.html

Risques

L'exploitation des vulnérabilités mentionnées a un impact sur la Confidentialité, l'intégrité et la disponibilité des données (CIA).

Les vulnérabilités permettent à un acteur malveillant de contourner le NAT et les pare-feu, ainsi que de prendre le contrôle des appareils ciblés sans qu'aucune interaction de l'utilisateur ne soit nécessaire. L'attaque est considérée comme du traffic légitime et peut être utilisée pour exploiter en masse d'autres dispositifs vulnérables.

On répertorie les possibilités d'attaque suivantes :

1. Un acteur malveillant peut prendre le contrôle d'un appareil vulnérable connecté au web directement.
      a. L'acteur malveillant peut choisir de rester dans le réseau et de cacher sa présence pour toute opération ou la discrétion prime tout en gardant un pied dans le réseau.
      b. L'acteur malveillant peut choisir d'étendre son emprise (lateral movementp et d'exploiter en masse les dispositifs vulnérables simultanément.

Remarque : L'acteur malveillant peut effectuer une attaque alors qu'il se trouve en dehors du réseau (attaque de l'homme au milieu, empoisonnement du cache DNS...) lorsqu'il répond à des paquets qui quittent les limites du réseau ou contourne la configuration NAT.

Actions recommandées

Le CCB recommande aux administrateurs système d'appliquer des correctifs appropriés après des tests approfondis et de mettre en œuvre des mécanismes de surveillance et de détection supplémentaires qui pourraient donner à l'organisation un meilleur aperçu des attaques actuelles et futures.

Appliquer les mises à jour de la dernière version du logiciel de la pile IP de Treck (au moins 6.0.1.67 ou plus).

Treck peut être contacté via security[@]treck.com

Pour des informations plus détaillées sur les vulnérabilités et les remédiations éventuelles, veuillez consulter l'avis Treck. D'autres fournisseurs touchés par les vulnérabilités signalées ont également publié des avis de sécurité concernant leurs produits concernés. Ces avis sont les suivants :

B.Braun
Caterpillar
Green Hills
Rockwell
Schneider Electric

Bloquer le trafic IP anormal

Comme les attaques en question peuvent passer pour du trafic légitime, il est crucial de protéger votre environnement réseau par une inspection approfondie des paquets.

Niveaux de protection possibles :

- Normaliser ou rejeter les paquets fragmentés IP (IP Fragments) s'ils ne sont pas pris en charge dans votre environnement.
- Désactiver ou bloquer le tunneling IP, à la fois IPv6-in-IPv4 ou IP-in-IP si cela n'est pas nécessaire.
- Bloquer le routage des sources IP et toute fonctionnalité IPv6 dépréciée comme les en-têtes de routage.
- Appliquer l'inspection TCP et rejeter les paquets TCP malformés.
- Bloquer les messages de contrôle ICMP non utilisés tels que les mises à jour de MTU et de masque d'adresse.
- Normaliser le DNS grâce à un serveur récursif sécurisé ou à un pare-feu de la couche application.
- Assurez-vous que vous utilisez un équipement OSI de couche 2 (Ethernet) fiable.
- Fournir une sécurité DHCP/DHCPv6 avec des fonctionnalités telles que la surveillance DHCP.
- Désactiver ou bloquer la multidiffusion IPv6 si elle n'est pas utilisée dans l'infrastructure de commutation.

Détecter un trafic IP anormal

Suricata IDS possède des règles de décodage intégrées qui peuvent être personnalisées pour détecter les tentatives d'exploitation de ces vulnérabilités. Voir la règle ci-dessous pour exemple.

#IP-in-IP tunnel with fragments

alert ip any any -> any any (msg:"VU#257161:CVE-2020-11896, CVE-2020-11900 Fragments inside IP-in-IP tunnel https://kb.cert.org/vuls/id/257161"; ip_proto:4; fragbits:M; sid:1367257161; rev:1;)