【安全通告】TCP/IP协议库漏洞 AMNESIA:33
2020-12-08
综述
12月8日，Forescout研究实验室披露了四个开源TCP/IP软件库中共33个漏洞。这一系列漏洞被统称为 AMNESIA:33，受影响软件库分别是uIP（发现13个漏洞）、picoTCP（10个）、 FNET（5个）、和Nut/Net（5个）。
这些漏洞预计影响150多家供应商和数百万设备，涉及嵌入式设备的操作系统、芯片系统、网络设备、OT设备以及大量企业级和消费级物联网设备。
利用漏洞攻击者能够破坏设备、执行恶意代码、造成拒绝服务，此外还能窃取敏感信息。
其中4个严重级别的远程代码执行漏洞分别是：
CVE-2020-25111
DNS域名解码/DNS响应处理组件中的问题。
CVE-2020-24338
解析域名的函数缺乏边界检查，允许攻击者用伪造的DNS数据包破坏内存。
CVE-2020-24336
通过NAT64发送的DNS响应数据包中解析DNS记录的代码没有验证响应记录的长度字段，允许攻击者破坏内存。
CVE-2020-25112
对IPv4/IPv6头长度检查不足，对IPv6头扩展长度检查不一致，使攻击者可以破坏内存。
参考链接：
https://searchsecurity.techtarget.com/news/252493283/Forescout-reports-33-new-TCP-IP-vulnerabilities
https://www.forescout.com/research-labs/amnesia33/
受影响产品
uIP
picoTCP
FNET
Nut/Net
解决方案
Forescout已和受影响的供应商进行了沟通，GitHub的安全团队也在协助识别受影响的TCP/IP 仓库。不过据Forescout显示，只有Contiki-NG、PicoTCP-NG、FNET和Nut/Net项目针对漏洞发布了补丁，uIP、Contiki和PicoTCP项目尚未发布补丁。
除了在可能的情况下及时安装补丁更新外，建议采取如下缓解措施：
评估风险
在采取防护措施之前，进行彻底的风险评估。识别潜在易受攻击设备、业务环境及其重要性，以及它们的通信路径和互联网暴露情况。
依靠内部DNS服务器
尽可能依赖内部DNS服务器，并且密切监视外部DNS流量，因为AMNESIA:33中的几个漏洞与DNS客户端有关，它们被利用时需要恶意的DNS服务器回复恶意数据包。
禁用或阻止不必要的IPv6通信
由于AMNESIA:33中的多个漏洞与IPv6组件有关，因此请禁用或阻止不必要的IPv6网络流量。
网络分段
对于无法修补的IoT和OT设备，在不影响关键业务功能或业务运营的前提下，请使用分段以最大程度地减少其网络暴露。
监视格式错误的数据包
密切关注所有网络流量中格式错误的数据包（例如，不合格的数据包字段长度或校验和失败）。当检测到异常流量时，采取响应措施，并进行更严格的管控。
参考链接:
https://www.forescout.com/company/resources/amnesia33-faq/
https://www.forescout.com/company/resources/amnesia33-how-tcp-ip-stacks-breed-critical-vulnerabilities-in-iot-ot-and-it-devices/
声 明
本安全公告仅用来描述可能存在的安全问题，海博网论坛科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，海博网论坛科技以及安全公告作者不为此承担任何责任。海博网论坛科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经海博网论坛科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。
关于海博网论坛科技
海博网论坛科技集团股份有限公司（简称海博网论坛科技）成立于2000年4月，总部位于北京。在国内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有核心竞争力的安全产品及解决方案，帮助客户实现业务的安全顺畅运行。
基于多年的安全攻防研究，海博网论坛科技在网络及终端安全、互联网基础安全、合规及安全管理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程安全评估以及Web安全防护等产品以及专业安全服务。
海博网论坛科技集团股份有限公司于2014年1月29日起在深圳证券交易所创业板上市，股票简称：海博网论坛科技，股票代码：300369。
