Multiples vuln systemes exploitation temps reel (18.08.21)

Avis et alertes de sécurité au jour le jour (aucune question posée dans ce sous-forum)

Modérateur: Modérateurs et Modératrices

Multiples vuln systemes exploitation temps reel (18.08.21)

Messagede pierre » 18 Aoû 2021, 20:36

Multiples vulnérabilités des systèmes d’exploitation temps réel (corrigées le 18 août 2021)

Version initiale de l'avis
18 août 2021

Source(s)
Voir Documentation

CVE ? | Full disclosure ? | Zero Day ? | Tromperie et Full disclosure ? | UCheck

Risque(s)
Exécution de code arbitraire à distance
Déni de service à distance

Systèmes affectés
Amazon FreeRTOS version 10.4.1
Apache Nuttx OS version 9.1.0
ARM CMSIS-RTOS2 versions antérieures à 2.1.3
ARM Mbed OS version 6.3.0
ARM mbed-ualloc version 1.3.0
BlackBerry QNX SDP versions antérieures à 6.5.0SP1 sans le dernier correctif
BlackBerry QNX OS for Safety versions antérieures à 1.0.2
BlackBerry QNX OS for Medical versions antérieures à 1.1.1
Cesanta Software Mongoose OS version 2.17.0
eCosCentric eCosPro RTOS versions 2.0.1 à 4.5.3
Google Cloud IoT Device SDK version 1.0.2
Linux Zephyr RTOS versions antérieures à 2.5.0
Media Tek LinkIt SDK versions antérieures à 4.6.1
Micrium OS, versions antérieures à 5.10.1
Micrium uC/OS: uC/LIB versions antérieures à 1.39.00
NXP MCUXpresso SDK versions antérieures à 2.8.2
NXP MQX versions antérieures à 5.1
Redhat newlib versions antérieures à 4.0.0
RIOT OS version 2020.01.1
Samsung Tizen RT RTOS versions antérieures à 3.0.GBB
TencentOS-tiny, version 3.1.0
Texas Instruments CC32XX versions antérieures à 4.40.00.07
Texas Instruments SimpleLink MSP432E4XX
Texas Instruments SimpleLink-CC13XX versions antérieures à 4.40.00
Texas Instruments SimpleLink-CC26XX versions antérieures à 4.40.00
Texas Instruments SimpleLink-CC32XX versions antérieures à 4.10.03
Uclibc-NG versions antérieures à 1.0.36
Windriver VxWorks versions antérieures à 7.0
Zephyr Project RTOS versions antérieures à 2.5

Résumé
De multiples vulnérabilités ont été découvertes dans les systèmes d'exploitation temps réel (RTOS, Real Time OS). Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance et un déni de service à distance.

Cette famille de vulnérabilités dans les RTOS a été découverte, décrite puis nommée « BadAlloc » par Microsoft, appellation donnée en raison de l’absence de vérification des entrées dans l’allocateur mémoire de tas. Ces vulnérabilités d'exécution de code à distance (RCE) sont référencées par 26 CVEs et affectent potentiellement un large éventail de domaines, de l'IoT grand public et médical à l'IoT industriel, aux technologies opérationnelles (OT) et aux systèmes de contrôle industriel. Une dizaine d’éditeurs sont concernés.

Solution
  • Les intégrateurs de ces RTOS sont invités à prendre contact rapidement avec l’éditeur du produit affecté afin de corriger leurs propres solutions et diffuser le correctif.
  • Les utilisateurs d’équipements basés sur ces RTOS sont invités à prendre contact avec le fournisseur afin de mettre à jour les équipements affectés.
  • Il convient en outre d’appliquer les bonnes pratiques référencées dans le guide ANSSI [1] et notamment celles ci-après.
    • S’assurer que les appareils concernés ne sont pas accessibles depuis Internet.
    • S’assurer que les systèmes ne se connectent qu'à des réseaux ou sous-réseaux isolés de confiance. Adopter une démarche de défense en profondeur permet de se protéger contre des menaces qui ne sont pas encore connues, de diminuer le périmètre sur lequel une menace est exercée ou d’en atténuer l’impact. Le simple cloisonnement des réseaux par des pare-feux ne suffit pas. D’autres mécanismes doivent l’accompagner et à différents niveaux (contrôle d’accès physique, durcissement des configurations, protection antivirale...).
    • Inclure des mécanismes de détection et de surveillance des installations. Surveiller de façon permanente les appareils à la recherche de comportements anormaux ou non autorisés tels que la communication avec des hôtes locaux ou distants inconnus. Enfin la collecte des informations au travers des journaux d’alarmes et d’événements est indispensable aux analyses ultérieures. Ces journaux pourront dans certains cas apporter des éléments utiles et des preuves dans le cadre d’une enquête judiciaire.
    • Réduire la surface d'attaque en éliminant les services sans utilité fonctionnelle ou non sécurisés.

[1] Guide de l'ANSSI sur la sécurité industrielle : https://www.ssi.gouv.fr/uploads/IMG/pdf ... finale.pdf

Documentation
Bulletin de sécurité BadAlloc icsa-21-119-04 du 20 mai 2021, mis à jour le 17 août 2021
https://us-cert.cisa.gov/ics/advisories/icsa-21-119-04

Bulletin de sécurité ARM CMSIS RTOS2 du 24 juin 2021
https://www.keil.com/pack/doc/CMSIS/RTO ... story.html

Bulletin de sécurité ARM mbed du 22 mars 2021
https://github.com/ARMmbed/mbed-os/pull/14408

Bulletin de sécurité Apache Nuttx OS du 21 juin 2021
https://lists.apache.org/thread.html/r8 ... che.org%3E

Bulletin de sécurité Wind River VxWorks 20210319 du 19 mars 2021
https://support2.windriver.com/index.ph ... ew&id=7048

Bulletin de sécurité Wind River VxWorks 20210203 du 03 février 2021
https://support2.windriver.com/index.ph ... 2020-28895

Bulletin de sécurité FreeRTOS du 07 décembre 2020
https://github.com/FreeRTOS/FreeRTOS-Kernel/pull/224

Bulletin de sécurité eCosCentric eCosPro RTOS 1002437 du 16 août 2021
https://bugzilla.ecoscentric.com/show_b ... id=1002437

Bulletin de sécurité Texas Instruments TI-PSIRT-2020-100074 du 29 avril 2021
https://www.ti.com/lit/an/swra709/swra7 ... 9129702198

Bulletin de sécurité Google Cloud IoT Device du 12 avril 2021
https://github.com/GoogleCloudPlatform/ ... /119/files

Bulletin de sécurité RedHat newlib du 17 novembre 2020
https://sourceware.org/git/?p=newlib-cy ... bc32f2d44e

Bulletin de sécurité Zephyr Project RTOS du 23 mars 2021
https://github.com/zephyrproject-rtos/zephyr/pull/31796

Bulletin de sécurité BlackBerry du 17 août 2021
https://support.blackberry.com/kb/artic ... uage=en_US

Référence CVE CVE-2021-30636
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-30636

Référence CVE CVE-2021-27431
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27431

Référence CVE CVE-2021-27433
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27433

Référence CVE CVE-2021-27435
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27435

Référence CVE CVE-2021-27427
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27427

Référence CVE CVE-2021-22684
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-22684

Référence CVE CVE-2021-27439
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27439

Référence CVE CVE-2021-27425
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27425

Référence CVE CVE-2021-26461
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-26461

Référence CVE CVE-2020-35198
http://cve.mitre.org/cgi-bin/cvename.cg ... 2020-35198

Référence CVE CVE-2020-28895
http://cve.mitre.org/cgi-bin/cvename.cg ... 2020-28895

Référence CVE CVE-2021-31571
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-31571

Référence CVE CVE-2021-31572
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-31572

Référence CVE CVE-2021-27417
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27417

Référence CVE CVE-2021-3420
http://cve.mitre.org/cgi-bin/cvename.cg ... -2021-3420

Référence CVE CVE-2021-27421
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27421

Référence CVE CVE-2021-22680
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-22680

Référence CVE CVE-2021-27419
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27419

Référence CVE CVE-2021-27429
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27429

Référence CVE CVE-2021-22636
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-22636

Référence CVE CVE-2021-27504
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27504

Référence CVE CVE-2021-27502
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27502

Référence CVE CVE-2021-27411
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-27411

Référence CVE CVE-2021-26706
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-26706

Référence CVE CVE-2020-13603
http://cve.mitre.org/cgi-bin/cvename.cg ... 2020-13603

Référence CVE CVE-2021-22156
http://cve.mitre.org/cgi-bin/cvename.cg ... 2021-22156


Historique des alertes et avis sur les systèmes d’exploitation temps réel
Historique des alertes et avis sur les systèmes d'exploitation temps réel
Image
__________________
Pierre (aka Terdef)
Appel à donation - Le site a besoin de votre aide

Comment je me fais avoir/infecter ? - Protéger navigateur, navigation et vie privée - Bloquer publicité et surveillance sur le Web
Accélérer Windows - Accélérer Internet - Décontamination - Installer Malwarebytes - Forums d'entraide

Il ne sera répondu à aucune demande de dépannage posée en MP (Messagerie Privée). Les demandes doivent être publiques et les réponses doivent profiter au public.
Image
Avatar de l’utilisateur
pierre
 
Messages: 29415
Inscription: 20 Mai 2002, 23:01
Localisation: Ici et maintenant

Re: Multiples vuln systemes exploitation temps reel (18.08.2

Messagede piratebab » 23 Aoû 2021, 18:34

C'est du lourd! ça fait beaucoup de machines concernées, dont la plupar n'ont pas possibilité de mettre à jour facilement leur firmware!
Ca promet de belles exploitations à venir.
Avatar de l’utilisateur
piratebab
Modérateur
 
Messages: 5767
Inscription: 30 Aoû 2004, 18:20

Re: Multiples vuln systemes exploitation temps reel (18.08.2

Messagede pierre » 23 Aoû 2021, 20:22

Bonsoir Pirate,

Il y a quelques explications, dont les marques d'éditeurs, les familles de processeurs, les plateformes, la disponibilité en open source, le type de licence libre, etc. pour chaque RTOS dans le paragraphe 8 de cette page :

Systèmes d'exploitation — SE — OS — Operating System (liste)

La plupart de ces RTOS sont en open source et en licences libres, car ils sont écrits par les fabricants de processeurs et cela participe de la vente de leurs processeurs par les communications avec les autres marques, donc à une forme de compatibilité dans des implications complexes , voire d'universalité.

L'introduction de ce paragraphe :

Ces systèmes d'exploitation s'adressent aux développeurs en informatique qui doivent piloter des processus en s'adressant directement aux composants électroniques, dont les processeurs.

Ces SE sont utilisés en :

IoT (Internet of Things) IdO (Internet des objets) CdC (Connectivité des Choses) grand public et médical

IoT (Internet of Things) industriel

OT (technologies opérationnelles)

Systèmes de contrôle industriel (SCADA et tous les éléments techniques du contrôle industriel selon leurs tailles)

On les trouve, par exemple, pour piloter automatiquement les automobiles, les missiles, les avions, les bateaux, les fusées, les centrales nucléaires, les trains, les barrages, etc., partout où une interface homme pilotant un processus industriel peut être, en tout ou partie, remplacé par un logiciel pilotant le processus industriel.
Secteurs industriels dans lesquels des processus industriels sont pilotés par des systèmes d'exploitation temps réel (proposition de liste par l'auteur de l'article français Wikipédia).

Aérospatiale et aéronautique

Agroalimentaire

Automobile

Chimie

Communications et transport de données

Énergie et utilités

Eaux et retraitement des eaux usées

Environnement

Équipements et machinerie industriels

Instruments industriels et médicaux

Mines et métaux

Pétrole et raffinage

Pharmacie

Pulpe et papier

Textiles

Verre et céramique
Image
__________________
Pierre (aka Terdef)
Appel à donation - Le site a besoin de votre aide

Comment je me fais avoir/infecter ? - Protéger navigateur, navigation et vie privée - Bloquer publicité et surveillance sur le Web
Accélérer Windows - Accélérer Internet - Décontamination - Installer Malwarebytes - Forums d'entraide

Il ne sera répondu à aucune demande de dépannage posée en MP (Messagerie Privée). Les demandes doivent être publiques et les réponses doivent profiter au public.
Image
Avatar de l’utilisateur
pierre
 
Messages: 29415
Inscription: 20 Mai 2002, 23:01
Localisation: Ici et maintenant

Re: Multiples vuln systemes exploitation temps reel (18.08.2

Messagede pierre » 23 Aoû 2021, 23:26

Ajouté quelques RTOS dans mon tableau et considérablement amélioré la présentation/lisibilité de cette liste.
Ajouté, lorsque trouvé, des liens vers les sites Web des RTOS et des liens vers le code source.

Paragraphe 8 de cette page :

Systèmes d'exploitation — SE — OS — Operating System (liste)
Image
__________________
Pierre (aka Terdef)
Appel à donation - Le site a besoin de votre aide

Comment je me fais avoir/infecter ? - Protéger navigateur, navigation et vie privée - Bloquer publicité et surveillance sur le Web
Accélérer Windows - Accélérer Internet - Décontamination - Installer Malwarebytes - Forums d'entraide

Il ne sera répondu à aucune demande de dépannage posée en MP (Messagerie Privée). Les demandes doivent être publiques et les réponses doivent profiter au public.
Image
Avatar de l’utilisateur
pierre
 
Messages: 29415
Inscription: 20 Mai 2002, 23:01
Localisation: Ici et maintenant


Retourner vers Alertes

Qui est en ligne

Utilisateurs parcourant ce forum: Aucun utilisateur enregistré et 29 invités