Forescout社とJFrog社の研究者が、NicheStack TCP/IPライブラリにINFRA:HALTの脆弱性があることを公表しました。
NicheStackは、シーメンス社のS7シリーズのPLCをはじめとする、Operational Technology (OT)およびCritical Infrastructure (重要インフラ)分野の機器で使用されています。また、NicheStackの開発元であるInterNiche社のユーザには、Emerson、Honeywell、Mitsubishi Electric、Rockwell Automation、Schneider Electricなどの主要なOT機器ベンダーなどがあります。このようにこのライブラリはOT分野で人気があるため、最も影響を受ける業種は製造業だと思われます
今回の脆弱性は、リモートコードの実行、サービス拒否、情報漏洩、TCPスプーフィングなどが可能で、情報漏洩、TCPスプーフィング、DNSキャッシュポイズニングの可能性があります。
Forescout Research Labs社とJFrog Security Research社は、2つのリモートコード実行の脆弱性を研究室で利用し、攻撃が成功した場合の潜在的な影響を示しています。
このライブラリは、200社以上のベンダーのOT機器や産業用機器に使用されていると考えられます。
セキュリティ研究者は200社以上のベンダーが製造する産業用機器やOperational Technology（OT）機器で一般的に使用されているTCP/IPライブラリに影響を与える14件の脆弱性を公開しました。
「INFRA:HALT」と総称されるこの14件の脆弱性は、Forescout社とJFrog社のセキュリティチームによる共同研究の一環として発見されたものです。
発表された報告書によると、今回の脆弱性はHCC Embedded社が提供する小型のC言語ライブラリ「NicheStack」に影響を与えており、このライブラリを機器のファームウェアに追加することで、機器がインターネット接続などのネットワーク機能をサポートできるようになります。
この種のライブラリは「TCP/IPスタック」とも呼ばれ、ほとんどすべての機器に共通して搭載されていますが、そのコードにセキュリティ上の欠陥がないかどうか、何十年も前からほとんど見直されていませんでした。
2019年、一般的なTCP/IPスタックに影響を与える脆弱性「URGENT/11」と「Ripple20」が発見された後、Forescoutチームは現在最も普及しているすべてのTCP/IPスタックのセキュリティを調べるための専門的な研究活動として「Project Memoria」を立ち上げました。
今回発表されたINFRA:HALTのバグは、Amnesia:33、NUMBER:JACKに続く３番目の脆弱性ですが、前2回の調査では、ルーターやIoT機器、ウェブサーバーなどで使用される一般的なTCP/IPスタックに焦点を当てていましたが、今回ForescoutチームとJFrogチームは、工場や鉱山、パイプライン、水処理施設などの重要なインフラの作業現場で一般的に見られる産業用機器にインターネット接続を追加するために使用されるライブラリを調査していました。
「今回発見された脆弱性は、リモートコードの実行、サービス拒否、情報漏洩、TCPスプーフィング、DNSキャッシュポイズニングを可能にするものです」と説明しています。
これらの脆弱性の詳細については、以下を参照してください。
INFRA:HALTの脆弱性を攻撃するためには、まず企業の内部ネットワークにアクセスする必要があります。その際、オフィスのネットワークだけでなくOTセクション（すべての産業用機器の設置が推奨されている独立したネットワーク）にもアクセスする必要があります。
しかし、一般的に多くの企業はOTネットワークを保護する方法を知っていますが、意図的または偶発的に産業用機器をオンラインで公開する企業がないわけではありません。
今年3月、Forescout社とJFrog社のチームがINFRA:HALTの脆弱性を発見した際、約6,400台のOT機器がインターネットに接続されていることが判明しました。
これらの機器は現在攻撃に対して脆弱であり、特に、攻撃者が遠隔地から機器を完全に制御できるようになるバグCVE-2020-25928およびCVE-2021-31226を悪用した攻撃に対してリスクがあります。
HCC Embeddedがすべての問題に対応するパッチを用意していますが、これらのパッチがファームウェアのアップデートに適用され、そのファームウェアが現場のデバイスに導入される頃には、攻撃者がすでにINFRA:HALTの問題を悪用してデバイスに損害を与えたり、OT業務を妨害したりしている可能性があります。
| Product | Affected Version | Fixed Version | Description | Support ID | Publish date | Last Updated |
|---|---|---|---|---|---|---|
| InterNiche stack, also NicheLite | v4.3 (Package: in_tcp – v1.9) and before | v4.3 (Package: in_tcp – v1.12) and later | UDP buffer loss | HCCSEC-000001 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_common – v1.15) and before | v4.3 (Package: in_common – v1.20) and above | Duplicate of HCCSEC-000010 | HCCSEC-000002 | 2021-05-28 | 2021-07-28 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_httpsvr – v1.6) and before | v4.3 (Package: in_httpsvr – v1.7) and above | HTTP heap overflow | HCCSEC-000003 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_httpsvr – v1.6) and before | v4.3 (Package: in_httpsvr – v1.7) and above | HTTP heap overflow | HCCSEC-000004 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_common – v1.15) and before | v4.3 (Package: in_common – v1.20) and above | Duplicate of HCCSEC-000008 | HCCSEC-000005 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_tcp – v1.9) and before | v4.3 (Package: in_tcp – v1.12) and later | DNS cache poisoning weakness | HCCSEC-000006 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_common – v1.15) and before | v4.3 (Package: in_common – v1.20) and above | Out-of-bounds read | HCCSEC-000007 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_common – v1.15) and before | v4.3 (Package: in_common – v1.20) and above | DNS cache poisoning weakness | HCCSEC-000008 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_common – v1.15) and before | v4.3 (Package: in_common – v1.20) and above | Out-of-bounds read | HCCSEC-000009 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_common – v1.15) and before | v4.3 (Package: in_common – v1.20) and above | Out-of-bounds read/write | HCCSEC-000010 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_ipv4 – v1.5) and before | v4.3 (Package: in_ipv4 – v1.6) and above | Integer overflow | HCCSEC-000011 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_tcp – v1.9) and before | v4.3 (Package: in_tcp – v1.12) and above | Integer overflow | HCCSEC-000012 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_tcp – v1.9) and before | v4.3 (Package: in_tcp – v1.12) and above | Predictable ISNs | HCCSEC-000013 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_tcp – v1.9) and before | v4.3 (Package: in_tcp – v1.12) and above | Loop with Unreachable Exit Condition | HCCSEC-000014 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_tcp – v1.9) and before | v4.3 (Package: in_tcp – v1.12) and above | Integer overflow | HCCSEC-000015 | 2021-05-28 | 2021-07-08 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_tftp – v1.1) and before | v4.3 (Package: in_tftp – v1.2) and above | Read out of bounds | HCCSEC-000016 | 2021-05-28 | 2021-07-21 |
| InterNiche stack, also NicheLite | v4.3 (Package: in_httpsvr – v1.6) and before | v4.3 (Package: in_httpsvr – v1.7) and above | Unnecessary panic triggered | HCCSEC-000017 | 2021-05-28 | 2021-07-08 |
NicheStack TCP/IPスタックや、以前の調査で脆弱性が指摘された他のTCP/IPスタックを使用している機器の有無を確認したい企業は、GitHubで公開されているForescoutのProject Amnesiaスキャナーを利用することができます。
Comments