Des millions d’appareils IoT dans le monde pourraient être vulnérables aux attaques à distance en raison de graves failles de sécurité affectant la pile Treck TCP / IP, a averti mardi la société israélienne de cybersécurité JSOF.

Treck TCP / IP est une suite de protocoles TCP / IP hautes performances spécialement conçue pour les systèmes embarqués. Les chercheurs du JSOF ont découvert que le produit est affecté par un total de 19 vulnérabilités, qu’ils suivent collectivement comme Ripple20.

Les vulnérabilités jugées critiques et de gravité élevée peuvent être exploitées pour l’exécution de code à distance, les attaques par déni de service (DoS) et pour obtenir des informations potentiellement sensibles. L’exploitation implique l’envoi de paquets IP ou de requêtes DNS spécialement conçus aux cibles, et dans certains cas, il peut être possible de lancer des attaques directement depuis Internet.

«Les vulnérabilités de Ripple20 sont uniques à la fois par leur effet et leur impact généralisés en raison de l’effet de la chaîne d’approvisionnement et étant des vulnérabilités permettant aux attaquants de contourner le NAT et les pare-feu et de prendre le contrôle des appareils sans être détectés, sans aucune intervention de l’utilisateur», a déclaré JSOF dans un rapport décrivant Ripple20. «Cela est dû au fait que les vulnérabilités se trouvent dans une pile TCP / IP de bas niveau et au fait que pour de nombreuses vulnérabilités, les paquets envoyés sont très similaires aux paquets valides ou, dans certains cas, sont des paquets complètement valides. Cela permet à l’attaque de passer comme trafic légitime. »

La bibliothèque vulnérable a été utilisée dans des appareils fabriqués par plus de 100 organisations, notamment des systèmes industriels, médicaux, de maison intelligente, de réseautage, d’entreprise, de vente au détail, d’énergie et de transport.

Selon JSOF, selon l’utilisation du système ciblé, l’exploitation des vulnérabilités peut permettre à un attaquant de maintenir l’accès à un réseau, causer des dommages financiers, perturber ou prendre le contrôle des appareils (dans le cas des appareils médicaux, cela peut menacer la vie ou la santé d’un individu).

La liste…