-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden in meerdere TCP/IP stacks
Advisory ID     : NCSC-2020-0994
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2020-13984, CVE-2020-13985, CVE-2020-13986,
                  CVE-2020-13987, CVE-2020-13988, CVE-2020-17437,
                  CVE-2020-17438, CVE-2020-17439, CVE-2020-17440,
                  CVE-2020-17441, CVE-2020-17442, CVE-2020-17443,
                  CVE-2020-17444, CVE-2020-17445, CVE-2020-17467,
                  CVE-2020-17468, CVE-2020-17469, CVE-2020-17470,
                  CVE-2020-24334, CVE-2020-24335, CVE-2020-24336,
                  CVE-2020-24337, CVE-2020-24338, CVE-2020-24340,
                  CVE-2020-24341, CVE-2020-24383, CVE-2020-25107,
                  CVE-2020-25108, CVE-2020-25109, CVE-2020-25110,
                  CVE-2020-25111, CVE-2020-25112
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: http://cve.mitre.org/cve/)
Schade          : high
                  Denial-of-Service (DoS)
                  (Remote) code execution (Administrator/Root rechten)
                  Toegang tot gevoelige gegevens
                  Toegang tot systeemgegevens
Uitgiftedatum   : 20201208
Toepassing      : open_iscsi
Versie(s)       :
Platform(s)     :

Beschrijving
   Onderzoekers van Forescout Research Labs hebben 33 kwetsbaarheden
   gevonden in vier open source TCP/IP stacks. In het onderzoek genaamd
   AMNESIA:33 worden vier kwetsbaaarheden aangemerkt als kritiek. De
   hoogst toegewezen CVSS score is 9.8. De kwetsbaarheden stellen een
   kwaadwillende in staat aanvallen uit te voeren die leiden tot de
   volgende categorieën schade:
   * Denial-of-Service (DoS)
   * (Remote) code execution (Administrator/Root rechten)
   * Toegang tot gevoelige gegevens
   Om de kwetsbaarheden te misbruiken dient de kwaadwillende malafide
   IP-verkeer naar het kwetsbare apparaat te versturen.

   De TCP/IP stacks (uIP, picoTCP, FNET, Nut/Net) worden gebruikt in
   verschillende apparaten zoals embedded systems, netwerkapparatuur en
   andere IoT en OT apparatuur. Open source TCP/IP stacks zijn geen
   eigendom van een bedrijf en is publieke code waardoor het
   onduidelijk is welke specifieke leveranciers en producten gebruik
   maken van de kwetsbare software.

   Het ligt in de lijn der verwachtingen dat voor een aantal van de
   kwetsbaarheden op korte termijn Proof-of-Concept-code verschijnt.
   Indien dit het geval is, zal de inschaling van deze advisory worden
   gewijzigd van Medium/High naar High/High. Ook zal deze advisory
   worden bijgewerkt als er meer bekend is over kwetsbare producten.

Mogelijke oplossingen
   Het NCSC adviseert de volgende algemene mitigerende maatregelen:
   * Breng voldoende segmentatie in uw netwerk aan
   * Monitor op misvormde IP-pakketten
   * Heroverweeg of systemen publiek zichtbaar mogen/moeten zijn en
   neem eventueel aanvullende maatregelen indien publieke toegang
   noodzakelijk is.

   In afwachting van patches worden er additionele mitigerende
   maatregelen geadviseerd op de website van de onderzoekers. Voor meer
   informatie zie:
   https://www.forescout.com/company/blog
      /amnesia33-forescout-research-labs-finds-33-new-vulnerabilities-i
      n-open-source-tcp-ip-stacks/

   Het volledige onderzoek is gepubliceerd op de website van Forescout.
   Voor meer informatie zie:
   https://www.forescout.com/research-labs/amnesia33/

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=8G2b
-----END PGP SIGNATURE-----