CISA 发布关于 Treck TCP/IP 栈中新漏洞的 ICS 安全公告

聚焦源代码安全，网罗国内外最新资讯！

Treck TCP/IP 栈的安全更新，解决了两个可导致远程代码执行或拒绝服务的严重漏洞。美国网络安全和基础设施安全局 (CISA) 发布安全公告，警告组织机构称注意这些缺陷对工业控制系统 (ICS) 带来的风险。

Treck TCP/IP 栈是一个底层的 TCP/IP 软件库，是专为嵌入式系统而设计的协议套件。CISA 指出，该产品广泛用于关键制造业、IT、医疗和运输行业。

上周，英特尔公司从中发现的四个新漏洞已公开，其中两个是“严重”等级。两个严重漏洞中更严重的是 CVE-2020-25066（CVSS 评分9.8），为存在于 Treck HTTP Server 组件中基于堆的缓冲区溢出漏洞，可被攻击者滥用于引发拒绝服务攻击或远程执行代码。另外一个漏洞是 CVE-2020-27337（CVSS 评分为9.1），是存在于 IPv6 组件中的界外写入漏洞，可被未认证用户通过网络访问权限触发拒绝服务条件。

Treck IPv6 的DHCPv6 客户端组件中存在界外读取漏洞，可被未认证用户通过邻近的网络访问权限引发拒绝服务。该漏洞的编号是 CVE-2020-27338（CVSS 评分为5.9）。第四个漏洞是CVE-2020-27336（CVSS 评分3.7），是 IPv6 组件中存在的不正确的输入验证你漏洞，可导致通过网络访问权限造成界外读取最多3个字节的后果，且无需认证。

建议用户发送邮件 security(at)treck.com，获取并安装受影响产品（Treck TCP/IP 6.0.1.68 或后续版本）的最新版本。CISA 在安全公告中指出，“Treck 公司建议无法应用最新补丁的用户执行防火墙规则，过滤出在 HTTP 标头中包含一个内容长度为负值的数据包。“

为将利用风险最小化，用户应确保无法从互联网访问控制系统，从业务网络中隔离控制系统网络和远程设备，并设置防火墙，且应该使用安全的方法如 VPN 进行远程访问。

新漏洞被公开后，安全公司 Forescout 公布了一个开源脚本，帮助识别易受 AMNESIA33 漏洞影响的 TCP/IP 栈的使用方式。Forescout 指出，“尽管该脚本已在实验环境中对受 AMNESIA:33 漏洞影响的四个栈进行了测试，但我们无法证实它对所有可能的设备均有效。因此，我们不建议直接在现实环境中用于重要设备。“

推荐阅读

4个开源 TCP/IP 栈被曝33个漏洞，数百万智能和工业设备受影响

Ping of Death：速修复 TCP/IP RCE 漏洞 CVE-2020-16898

原文链接

https://www.securityweek.com/cisa-issues-ics-advisory-new-vulnerabilities-treck-tcpip-stack

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

CISA 发布关于 Treck TCP/IP 栈中新漏洞的 ICS 安全公告相关推荐

4个开源 TCP/IP 栈被曝33个漏洞，数百万智能和工业设备受影响
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队 Forescout 公司的安全研究员披露了150多个厂商产品固件中当前所使用的四个开源 TCP/IP 库中的33个安全缺陷,被统称为 ...
TCP/IP协议中的一些常用端口简单讲解
(源自http://bbs.360.cn/3232114/17010996.html) 那么TCP/IP协议中的端口指的是什么呢?如果把IP地址比作一间房子 ,端口就是出入这间房子的门.真正的房子只有 ...
TCP/IP协议中的端口
本文所述端口都是逻辑意义上的端口,是指TCP/IP协议中的端口,端口号的范围从0到65535,比如用于浏览网页服务的80端口,用于FTP服务的21端口等等. 我们这里将要介绍的就是逻辑意义上的端口. ...
uIP 一个免费的TCP/IP栈
uIP 一个免费的TCP/IP栈原文:Adam Dunkels adam@dunkels.com 2002年2月15日翻译:张伟林 2003年5月17日 okelinchang@163.com ...
深入分析Linux操作系统对于TCP/IP栈的实现原理与具体过程
一.Linux内核与网络体系结构在我们了解整个linux系统的网络体系结构之前,我们需要对整个网络体系调用,初始化和交互的位置,同时也是Linux操作系统中最为关键的一部分代码-------内核,有 ...
tcp/ip协议中消息传输对帧消息的操作
2019独角兽企业重金招聘Python工程师标准>>> 接口:Framer.java: package com.tcpip;import java.io.IOException; i ...
在TCP/IP模型中，（）处理关于可靠性、流量控制和错误校正等问题。
在TCP/IP模型中,( C )处理关于可靠性.流量控制和错误校正等问题. A. 网络接口层 B. 网际层 C. 传输层 D. 应用层 TCP/IP模型的传输层提供端到端的通信,并负责差错控制和流量控 ...
【详解】以下关于TCP/IP协议栈中协议和层次的对应关系正确的是（）
以下关于TCP/IP协议栈中协议和层次的对应关系正确的是解析: TCP协议和UDP协议都是基于IP协议的. 基于TCP的应用层协议:FTP.Telnet.SMTP.HTTP.POP3与DNS 基于U ...
TCP之三：TCP/IP协议中backlog参数（队列参数）
目录: <TCP洪水攻击(SYN Flood)的诊断和处理> <TCP/IP协议中backlog参数> TCP建立连接是要进行三次握手,但是否完成三次握手后,服务器就处理(ac ...

CISA 发布关于 Treck TCP/IP 栈中新漏洞的 ICS 安全公告

CISA 发布关于 Treck TCP/IP 栈中新漏洞的 ICS 安全公告相关推荐

最新文章

热门文章