Ripple20 – Gefährliche Sicherheitslücke in unzähligen Geräten entdeckt

Forscher der israelischen Sicherheitsfirma JSOF haben in der Low-Level TCP/IP Software-Bibliothek der Firma Treck 19 Sicherheitslücken entdeckt, die dazu ausgenutzt werden können, mit geringem Aufwand entweder Daten zu entwenden oder zu manipulieren. Auch die komplette Kontrolle über ein Gerät ist möglich. Die Sicherheitslücken haben einen CVSSv3 Score von bis zu 10, was einer Remote-Code-Execution Lücke entspricht. Das heißt, es kann Remote, sprich über das Internet, beliebiger Code auf einem Gerät ausgeführt werden, ohne dass eine Aktivität seitens des Nutzers/Betreibers erforderlich ist.

Entsprechende CVEs lauten:

Die Sicherheitslücken wurde mit Version 6.0.1.67 der Software-Bibliothek behoben, welche am 3. März 2020 veröffentlicht wurde. Leider ist es dem Endanwender meist nicht möglich, diese Software-Bibliothek selber zu aktualisieren. Hier ist ein manuelles Update seitens der Hersteller erforderlich.

Welche Geräte sind von Ripple20 betroffen?

Dies ist eine gute Frage, auf die es leider noch keine ausreichende Antwort gibt. Grundsätzlich ist jedes Produkt mit dieser Software-Bibliothek betroffen. Dabei kann es sich um einen einfachen Drucker, eine Smart Home-Komponente wie beispielsweise eine ferngesteuerte Steckdose oder sogar gewisse Industriemaschinen handeln. Zudem seien auch manche Flugzeuge und Satelliten betroffen. Die Frage sollte wohl eher lauten, welche Geräte sind nicht von Ripple20 betroffen?

Da der Hersteller Treck mit seinen Kunden ein Non-Disclosure-Agreement (NDA) unterzeichnet hat, ist dieser nicht in der Lage, eine Liste von Kunden zu veröffentlichen. Treck hat jedoch alle Kunden kontaktiert, über die Sicherheitslücken informiert und die aktualisierte Version der Software-Bibliothek bereitgestellt.

Die Forscher von JSOF haben selber versucht herauszufinden, welche Hersteller betroffen sind und welche davon bereits Gegenmaßnahmen ergriffen haben. Die folgende Liste hat den Stand vom 18. Juni 2020 und erhebt keinen Anspruch auf Vollständigkeit oder Korrektheit. Bitte kontaktieren Sie den Hersteller ihrer IP-fähigen Geräte, wenn Sie vermuten, dass sie von den Sicherheitslücken betroffen sein könnten.

Wie kann das Risiko minimiert werden, mittels Ripple20 angegriffen zu werden?

Als ersten Schritt sollte man einen kompletten Überblick über das eigene Netzwerk alle angeschlossenen Geräte erhalten. Mit einem kompletten Inventar kann im Folgenden eruiert werden, ob sich betroffene Geräte im Netzwerk befinden. Daraufhin sollte überprüft werden, ob für die Geräte ggf. Updates verfügbar sind.

Zu den generellen Best-Practice-Ansätzen gehört natürlich ebenfalls die Standard-Vorgehensweisen:

1. Geräte nur wenn unbedingt nötig Zugang zum Internet gewähren.
2. Segmentierung von Netzwerken und der Einsatz von Firewalls zwischen den Netzwerken.
3. Nach Möglichkeit nur Fernwartungszugänge zu den Geräten über gesicherte und verschlüsselte VPN-Verbindungen erlauben.

Für die Inventarisierung und Analyse Ihres Netzwerkes und der darin befindlichen Geräte gibt es eine Lösung der Firma Greenbone, welche aktiv oder passiv nach Sicherheitslücken sucht und Ergebnisse in einfach verständlichen Berichten zusammenfasst. Zudem kann die Lösung automatisiert nach Geräten im Netzwerk suchen und eine ISO27001 konforme Inventarliste generieren.

Für das Monitoring bieten wir Lösungen von Nozomi Networks an, welche mit KI-gestützten Systemen erlernt, wie Geräte innerhalb eines Netzwerkes miteinander sprechen, um nach der Lernphase Anomalien gezielt entdecken und melden zu können.

Sollten Sie Interesse an einer Beratung oder einer Teststellung der vorgestellten Lösungen haben, so können Sie uns gerne über Telefon, E-Mail oder unser Kontaktformular erreichen.