近日，國外網(wǎng)絡(luò)安全研究人員披露了 14 個影響常用TCP／IP 堆棧的漏洞。這些漏洞被命名為“INFRA：HALT”，攻擊者基于該系列漏洞能夠進行遠程代碼執(zhí)行、拒絕服務(wù)、信息泄漏、TCP 欺騙等攻擊，甚至在DNS緩存植入惡意代碼、病毒等。

分析顯示，“INFRA：HALT”系列漏洞主要影響NicheStack 4．3之前所有版本，包括NicheLite也受到影響，全球大多數(shù)工業(yè)自動化企業(yè)都使用NicheStack TCP／IP協(xié)議棧，受影響的設(shè)備廠商超過200家。

NicheStack，又名InterNiche Stack，是用于嵌入式系統(tǒng)的第三方閉源TCP／IP協(xié)議棧組件，旨在提供互聯(lián)網(wǎng)連接工業(yè)設(shè)備，主要部署在制造工廠、發(fā)電、水處理和關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域的設(shè)備上。包含西門子、艾默生、霍尼韋爾、三菱電機、羅克韋爾自動化、施耐德電氣等的可編程邏輯控制器 （PLC） 和其他產(chǎn)品，以及許多制造、發(fā)電、水處理等關(guān)鍵基礎(chǔ)設(shè)施領(lǐng)域的操作技術(shù)（OT）設(shè)備中均有應(yīng)用。

“INFRA：HALT”包含14個安全漏洞

“INFRA：HALT”系列漏洞主要包含遠程代碼執(zhí)行、DoS、信息泄露、TCP欺騙等14個漏洞，影響DNSv4、HTTP、TCP、ICMP等模塊，其中2個漏洞CVSS評分超過9分。

CVE－2020－25928：該漏洞是分析DNS響應(yīng)時未檢查單個DNS答案時未檢查響應(yīng)數(shù)據(jù)長度（response data length）域引發(fā)的安全漏洞，可能引發(fā)OOB－R／W，是一個遠程代碼執(zhí)行漏洞，影響DNSv4模塊，CVSS評分9．8分。

CVE－ 2021－31226：該漏洞是分析HTTP POST請求時由于未進行大小驗證引發(fā)的堆緩存溢出漏洞，是一個遠程代碼執(zhí)行漏洞，影響HTTP模塊，CVSS評分9．1分。

CVE－2020－25767：該漏洞是分析DNS域名時未檢查壓縮指針的指向是否在包邊界內(nèi)，可能引發(fā)OOB－R，最終引發(fā)DoS攻擊和信息泄露，該漏洞CVSS評分7．5分，影響DNSv4模塊。

CVE－2020－25927：該漏洞是分析DNS響應(yīng)時未檢查包頭中特定的查詢或響應(yīng)數(shù)是否與DNS包中的查詢或響應(yīng)一致引發(fā)的安全問題，可能引發(fā)DoS攻擊，CVSS評分8．2分。

CVE－2021－31227：該漏洞是分析HTTP POST請求時由于錯誤的簽名整數(shù)比較引發(fā)的對緩存溢出漏洞，可能引發(fā)DoS攻擊，影響HTTP模塊，CVSS評分7．5分。

CVE－2021－31400：TCP帶外緊急數(shù)據(jù)處理函數(shù)在處理帶外緊急數(shù)據(jù)的末尾指針指向TCP包外的數(shù)據(jù)時，會調(diào)用一個panic函數(shù)。如果panic函數(shù)沒有移除trap調(diào)用，就會引發(fā)死循環(huán)，最終引發(fā)DoS攻擊，該漏洞影響TCP模塊，CVSS評分為7．5分。

CVE－2021－31401：TCP頭處理代碼沒有對IP長度（頭＋數(shù)據(jù)）的長度進行處理。如果攻擊者偽造一個IP包，就可能引發(fā)整數(shù)溢出，因為IP數(shù)據(jù)的長度是通過全部IP數(shù)據(jù)包的長度減去header的長度來計算的。該漏洞影響TCP模塊，CVSS評分為7．5分。

CVE－2020－35683：處理ICMP包的代碼依賴IP payload大小來計算ICMP校驗和，但是IP payload的大小是沒有經(jīng)過檢查的。當IP payload大小的設(shè)定值小于IP header的大小時，ICMP校驗和的計算函數(shù)就可能讀越界，引發(fā)DoS攻擊。該漏洞影響ICMP模塊，CVSS評分7．5分。

CVE－ 2020－35684：處理TCP包的代碼依賴IP payload大小來計算TCP payload的長度。當IP payload大小的設(shè)定值小于IP header的大小時，ICMP校驗和的計算函數(shù)就可能讀越界，引發(fā)DoS攻擊。該漏洞影響TCP模塊，CVSS評分7．5分。

CVE－ 2020－3568：該漏洞是由于TCP ISN的生成是以一種可預(yù)測的方式生成的。該漏洞可能引發(fā)TCP欺騙，影響TCP模塊，CVSS評分7．5分。

CVE－ 2021－27565：當接收到未知的HTTP請求時，會調(diào)用panic。該漏洞可能引發(fā)DoS攻擊，漏洞影響HTTP模塊，CVSS評分7．5分。

CVE－ 2021－36762：TFTP包處理函數(shù)無法確保文件名是否是非終止符，因此之后調(diào)用strlen（）可能會引發(fā)協(xié)議包緩存越界，引發(fā)DoS攻擊。該漏洞影響TFTP模塊，CVSS評分7．5分。

CVE－ 2020－25926：該漏洞是由于DNS客戶端未設(shè)置足夠多的隨機交易ID引發(fā)的，可能引發(fā)DNS緩存投毒攻擊。漏洞影響DNSv4模塊，CVSS評分4分。

CVE－ 2021－31228：攻擊者可以預(yù)測DNS查詢的源端口，因此可以發(fā)送偽造的DNS請求包來讓DNS客戶端作為請求的有效應(yīng)答來接收，可能引發(fā)DNS緩存投毒攻擊。漏洞影響DNSv4模塊，CVSS評分4分。

受“INFRA：HALT”漏洞影響的工控廠商

針對全網(wǎng)互聯(lián)網(wǎng)工控設(shè)備情況進行分析發(fā)現(xiàn)，受“INFRA：HALT”系列漏洞影響最嚴重的主要是美國、加拿大、西班牙以及瑞典等國家。

西門子受影響產(chǎn)品：

施耐德電氣受影響產(chǎn)品：Lexium ILE ILA ILS firmware version V01．103 and prior。

施耐德電氣目前尚未提供漏洞修復(fù)補丁，建議通過防火墻等安全措施對潛在的漏洞攻擊風險進行緩解。

霍尼韋爾受影響產(chǎn)品：官方尚未發(fā)布該系列漏洞安全公告。

三菱受影響產(chǎn)品：官方尚未發(fā)布該系列漏洞安全公告。

INFRA：HALT系列漏洞的利用情況

根據(jù)安全研究者披露的一份技術(shù)文檔顯示，目前關(guān)于“INFRA：HALT”系列漏洞有一定程度的技術(shù)描述，但尚未公布基于該系列漏洞的利用程序與POC。

分析顯示，使用了InterNiche協(xié)議棧組件的產(chǎn)品容易遭受“INFRA：HALT”系列漏洞攻擊，受影響的主要為HTTP、FTP、TELNET、SSH等服務(wù)。查詢Shodan發(fā)現(xiàn)，有超過6400個運行NicheStack協(xié)議棧的設(shè)備。其中6360個運行HTTP服務(wù)器，其他大多數(shù)運行FTP、SSH、Telnet等服務(wù)。這些設(shè)備可能遭受 CVE－2020－25928、CVE－2021－31226漏洞的攻擊，導(dǎo)致設(shè)備被遠程控制。

安全研究員公布方還發(fā)布了一個開源的檢測腳本，可以協(xié)助檢測設(shè)備系統(tǒng)是否使用了InterNiche協(xié)議棧及其版本信息。

截至目前，HCC Embedded 公司已準備發(fā)布修復(fù)補丁。但在更新固件前，攻擊者可能已開始利用“INFRA：HALT”系列漏洞發(fā)動攻擊。因此受影響企業(yè)應(yīng)盡快排查、監(jiān)測相關(guān)設(shè)備系統(tǒng)的使用情況，禁止相關(guān)設(shè)備開啟HTTP、FTP、TELNET、SSH等通用網(wǎng)絡(luò)服務(wù)，或者使用防火墻等網(wǎng)絡(luò)安全產(chǎn)品將相關(guān)端口進行過濾。

同時，受影響企業(yè)還需持續(xù)關(guān)注相關(guān)工控設(shè)備廠商的安全公告，及時防范和修復(fù)受影響的產(chǎn)品漏洞。

頂象保障工控安全

頂象是一家以大規(guī)模風險實時計算技術(shù)為核心的業(yè)務(wù)安全公司，旨在幫助客戶構(gòu)建自主可控的風險安全體系，實現(xiàn)業(yè)務(wù)可持續(xù)的增長。作為CNNVD（國家信息安全漏洞庫）、CICSVD（國家工業(yè)信息安全漏洞庫）重要技術(shù)支撐單位，頂象是工信部、人保部、共青團中央等12個部門主辦“2020年全國工業(yè)互聯(lián)網(wǎng)安全技術(shù)技能大賽”的出題方和裁判員，并獲得主辦方頒發(fā)的“突出貢獻獎”榮譽稱號。

基于多年安全技術(shù)研究、業(yè)務(wù)安全攻防實戰(zhàn)經(jīng)驗，頂象推出了一整套工控安全智能防護系統(tǒng)，擁有漏洞挖掘、未知威脅發(fā)現(xiàn)、風險預(yù)測感知、威脅欺騙誘捕、主動安全防御能力，為石油石化、能源電力、軌道交通、智能制造等工業(yè)領(lǐng)域提供覆蓋全生命周期的安全體系。

在漏洞挖掘能力方面，頂象洞見實驗主要面向底層工控設(shè)備和裝置（ PLC、DCS、SCADA等）以及各類組態(tài)軟件的漏洞挖掘和安全研究，擁有30余名資深安全研究人員團隊，基于領(lǐng)先的工業(yè)系統(tǒng)漏洞挖掘與利用、漏洞模糊測試和工業(yè)協(xié)議分析技術(shù)，每月平均挖掘原創(chuàng)0day漏洞100個以上，為國內(nèi)外數(shù)十家知名工業(yè)企業(yè)提供過安全檢測服務(wù)，獲得了客戶的高度認可與好評。

通過符號執(zhí)行和污點跟蹤分析，結(jié)合頂象獨有的人工智能技術(shù)，實現(xiàn)X86、X86＿64、 ARM、MIPS等主流架構(gòu)的無源碼二進制文件漏洞挖掘，能夠快速定位包括內(nèi)存越界、溢出等各種類型安全漏洞。并通過集成了數(shù)萬種掃描插件的自主研發(fā)的非入侵式無損智能掃描系統(tǒng)，對設(shè)備進行完整性、脆弱性、安全性進行全面檢測與評估，提升設(shè)備的安全性、可靠性和穩(wěn)定性。