Ripple20 - Une faille de sécurité dangereuse découverte dans d'innombrables appareils

Des chercheurs de l'entreprise de sécurité israélienne JSOF ont découvert 19 failles de sécurité dans la bibliothèque logicielle TCP/IP de bas niveau de la société Treck, qui peuvent être exploitées pour détourner ou manipuler des données avec peu d'efforts. Le contrôle complet d'un appareil est également possible. Les failles de sécurité ont un score CVSSv3 allant jusqu'à 10, ce qui correspond à une faille d'exécution de code à distance. Cela signifie qu'il est possible d'exécuter du code arbitraire sur un appareil à distance, c'est-à-dire via Internet, sans qu'aucune activité ne soit nécessaire de la part de l'utilisateur/opérateur.

Les CVE correspondantes sont les suivantes :

Ces vulnérabilités ont été corrigées dans la version 6.0.1.67 de la bibliothèque logicielle, publiée le 3 mars 2020. Malheureusement, l'utilisateur final n'est généralement pas en mesure de mettre à jour lui-même cette bibliothèque logicielle. Dans ce cas, une mise à jour manuelle de la part du fabricant est nécessaire.

Quels sont les appareils concernés par Ripple20 ?

C'est une bonne question, à laquelle il n'y a malheureusement pas encore de réponse suffisante. En principe, tout produit doté de cette bibliothèque logicielle est concerné. Il peut s'agir d'une simple imprimante, d'un composant de maison intelligente comme par exemple une prise de courant télécommandée ou même de certaines machines industrielles. En outre, certains avions et satellites sont également concernés. La question devrait plutôt être de savoir quels appareils ne sont pas concernés par Ripple20 ?

Le fabricant Treck ayant signé un accord de non-divulgation (NDA) avec ses clients, celui-ci n'est pas en mesure de publier une liste de clients. Treck a toutefois contacté tous ses clients, les a informés des failles de sécurité et leur a fourni la version actualisée de la bibliothèque logicielle.

Les chercheurs de JSOF ont eux-mêmes tenté de déterminer quels fabricants étaient concernés et lesquels avaient déjà pris des contre-mesures. La liste suivante est à jour au 18 juin 2020 et ne prétend pas être complète ou correcte. Veuillez contacter le fabricant de vos appareils compatibles IP si vous pensez qu'ils pourraient être concernés par ces failles de sécurité.

Comment minimiser le risque d'être attaqué par Ripple20 ?

La première étape consiste à obtenir une vue d'ensemble complète de son réseau et de tous les appareils qui y sont connectés. Un inventaire complet permet ensuite de déterminer si des appareils concernés se trouvent sur le réseau. Ensuite, il convient de vérifier si des mises à jour sont disponibles pour les appareils.

Parmi les meilleures pratiques générales, il y a bien sûr aussi la procédure standard :

1. N'autoriser l'accès des appareils à Internet que si cela est absolument nécessaire.
2. Segmentation des réseaux et utilisation de pare-feu entre les réseaux.
3. Si possible, n'autoriser que l'accès à distance aux appareils via des connexions VPN sécurisées et cryptées.

Pour l'inventaire et l'analyse de votre réseau et des appareils qui s'y trouvent, il existe une solution de la société Greenbone qui recherche activement ou passivement les failles de sécurité et résume les résultats dans des rapports faciles à comprendre. En outre, la solution peut rechercher automatiquement des appareils dans le réseau et générer une liste d'inventaire conforme à la norme ISO27001.

Pour la surveillance, nous proposons des solutions de Nozomi Networks qui, grâce à des systèmes basés sur l'IA, apprennent comment les appareils se parlent au sein d'un réseau afin de pouvoir, après la phase d'apprentissage, détecter et signaler les anomalies de manière ciblée.

Si vous êtes intéressé par un conseil ou un test des solutions présentées, n'hésitez pas à nous contacter par téléphone, par e-mail ou via notre formulaire de contact.