Il 16 giugno un gruppo di ricercatori israeliani ha reso pubbliche 19 vulnerabilità nello stack TCP/IP di Treck, una piccola libreria di rete per sistemi embedded. Il nome scelto, Ripple20, richiama l’effetto onda: da oltre vent’anni quella libreria viene venduta, personalizzata e rivenduta lungo la catena di fornitura, spesso con nomi diversi. Oggi si trova in centinaia di milioni di dispositivi.
Si parla di stampanti, telecamere, UPS, router, pompe di infusione ospedaliere, controllori industriali, apparati di telecomunicazione. Tra i produttori coinvolti ci sono HP, Intel, Schneider Electric, Rockwell Automation, Caterpillar e Baxter.
Quattro falle sono critiche:
- CVE-2020-11896, gravità 10 su 10: esecuzione di codice da remoto con pacchetti IPv4 malformati, sui dispositivi che supportano il tunneling IPv4;
- CVE-2020-11897, 10 su 10: scrittura fuori dai limiti della memoria tramite pacchetti IPv6;
- CVE-2020-11901, 9 su 10: esecuzione di codice con una singola risposta DNS manipolata;
- CVE-2020-11898, 9,1 su 10: fuga di informazioni dalla memoria.
Alcune si possono sfruttare anche dall’esterno della rete, per esempio passando dal DNS. In un ospedale o in una fabbrica, il controllo di un dispositivo apparentemente banale può diventare il punto d’appoggio per raggiungere sistemi molto più delicati.
La patch esiste, ma deve fare molta strada
Treck ha già rilasciato le correzioni. Il guaio è che la libreria è sepolta dentro firmware di terze parti: ogni produttore deve integrarle e distribuirle ai propri clienti. Molti dispositivi sono vecchi, fuori supporto o venduti da aziende che non esistono più. Per una parte di questi apparati la patch non arriverà mai.
Il lavoro comincia da un inventario onesto: quali dispositivi embedded e IoT ci sono davvero nella tua rete? Spesso nessuno lo sa con precisione. Una volta trovati, controlla gli avvisi dei produttori su Ripple20 e installa gli aggiornamenti firmware appena escono. Quelli che non si possono aggiornare vanno isolati, con una rete separata, nessun accesso da Internet e traffico limitato allo stretto necessario. Usa un DNS interno affidabile e blocca il traffico IP anomalo, come il tunneling IP-in-IP e i pacchetti frammentati in modo sospetto.
Da oggi la stampante in corridoio merita la stessa attenzione del server.
