Urgent/11 propusti mogu da utiču na 200 miliona uređaja
Istraživači iz Armis Labs-a otkrili su 11 potencijalno ozbiljnih bezbednosnih propusta koji mogu da utiču na Wind River VxWorks, real-time operativni sistem (RTOS). Za njega možemo da kažemo da se radi o najrasprostranjenijem operativnom sistemu za koji nikad niste čuli. On se koristi na više od 200 miliona trenutno aktivnih uređaja kao što su ruteri, modemi, firewall-ovi, štampači, VoIP telefoni, IoT uređaji, pa čak i liftovi…
RTOS se koristi u najširem mogućem spektru uređaja koji zahtevaju brz odgovor na neku akciju, kao i u situacijama gde je garantovanje da će akcija da se izvrši mnogo bitnija od sirove računarske snage. Na primer, RTOS se upotrebljava u vazdušnim jastucima u automobilima, kako bi aktivirao sistem za naduvavanje u tačno određenom trenutku. Pošto se radi o OS-u koji svoje korene vuče već 32 godine, procenjuje se da je do sada bio instaliran u više od dve milijarde uređaja.
Armis Labs je otkrivene pretnje zajednički nazvao Urgent/11 i objavio je da potencijalno mogu da utiču na sve uređaje koji rade na VxWorks OS-u, još od verzije iz 2006. godine. Raznolikost uređaja, kao i njihova rasprostranjenost, čini ispravljanje pronađenih propusta veoma teškim zadatkom, naročito kod uređaja starijih generacija. Najveći problem javlja se kod uređaja kojima se može pristupiti preko Interneta. Prema kompaniji, „napad“ na uređaje moguće je obaviti kroz TCP/IP, bez interakcije korisnika. Firewall-ovi nisu u stanju da detektuju takve napade, a softver koji je eventualno napadnut na taj način predstavlja direktan rizik za korisnike.
Srećom, do sada ne postoje dokazi da je bilo koja od otkrivenih pretnji zaista upotrebljena za neki napad na ove uređaje.
Wind River je, nakon otkrića ovih bezbednosnih propusta, urgentno napravio zakrpe koje je proizvođačima uređaja prosledio 19. jula. Međutim, oni će moći da se primene samo na novo-proizvedenim uređajima, dok velika većina uređaja koji se već nalaze u upotrebi neće moći da se nadogradi.
Izvor: Sophos Naked Security
