Download
Beveilingsadvies; NCSC-2020-0994
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
Titel : Kwetsbaarheden in meerdere TCP/IP stacks
Advisory ID : NCSC-2020-0994
Versie : 1.00
Kans : medium
CVE ID : CVE-2020-13984, CVE-2020-13985, CVE-2020-13986,
CVE-2020-13987, CVE-2020-13988, CVE-2020-17437,
CVE-2020-17438, CVE-2020-17439, CVE-2020-17440,
CVE-2020-17441, CVE-2020-17442, CVE-2020-17443,
CVE-2020-17444, CVE-2020-17445, CVE-2020-17467,
CVE-2020-17468, CVE-2020-17469, CVE-2020-17470,
CVE-2020-24334, CVE-2020-24335, CVE-2020-24336,
CVE-2020-24337, CVE-2020-24338, CVE-2020-24340,
CVE-2020-24341, CVE-2020-24383, CVE-2020-25107,
CVE-2020-25108, CVE-2020-25109, CVE-2020-25110,
CVE-2020-25111, CVE-2020-25112
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
Denial-of-Service (DoS)
(Remote) code execution (Administrator/Root rechten)
Toegang tot gevoelige gegevens
Toegang tot systeemgegevens
Uitgiftedatum : 20201208
Toepassing : open_iscsi
Versie(s) :
Platform(s) :
Beschrijving
Onderzoekers van Forescout Research Labs hebben 33 kwetsbaarheden
gevonden in vier open source TCP/IP stacks. In het onderzoek genaamd
AMNESIA:33 worden vier kwetsbaaarheden aangemerkt als kritiek. De
hoogst toegewezen CVSS score is 9.8. De kwetsbaarheden stellen een
kwaadwillende in staat aanvallen uit te voeren die leiden tot de
volgende categorieën schade:
* Denial-of-Service (DoS)
* (Remote) code execution (Administrator/Root rechten)
* Toegang tot gevoelige gegevens
Om de kwetsbaarheden te misbruiken dient de kwaadwillende malafide
IP-verkeer naar het kwetsbare apparaat te versturen.
De TCP/IP stacks (uIP, picoTCP, FNET, Nut/Net) worden gebruikt in
verschillende apparaten zoals embedded systems, netwerkapparatuur en
andere IoT en OT apparatuur. Open source TCP/IP stacks zijn geen
eigendom van een bedrijf en is publieke code waardoor het
onduidelijk is welke specifieke leveranciers en producten gebruik
maken van de kwetsbare software.
Het ligt in de lijn der verwachtingen dat voor een aantal van de
kwetsbaarheden op korte termijn Proof-of-Concept-code verschijnt.
Indien dit het geval is, zal de inschaling van deze advisory worden
gewijzigd van Medium/High naar High/High. Ook zal deze advisory
worden bijgewerkt als er meer bekend is over kwetsbare producten.
Mogelijke oplossingen
Het NCSC adviseert de volgende algemene mitigerende maatregelen:
* Breng voldoende segmentatie in uw netwerk aan
* Monitor op misvormde IP-pakketten
* Heroverweeg of systemen publiek zichtbaar mogen/moeten zijn en
neem eventueel aanvullende maatregelen indien publieke toegang
noodzakelijk is.
In afwachting van patches worden er additionele mitigerende
maatregelen geadviseerd op de website van de onderzoekers. Voor meer
informatie zie:
https://www.forescout.com/company/blog
/amnesia33-forescout-research-labs-finds-33-new-vulnerabilities-i
n-open-source-tcp-ip-stacks/
Het volledige onderzoek is gepubliceerd op de website van Forescout.
Voor meer informatie zie:
https://www.forescout.com/research-labs/amnesia33/
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=8G2b
-----END PGP SIGNATURE-----
