当前位置：首页 >> 业界动态
Treck TCP/IP协议库“Ripple20”漏洞安全通告
1. 漏洞类型：
TAG： TCP/IP 软件库、Ripple20漏洞
危害等级： 高
应急等级： 黄色

2. 事件经过：
　　近日，以色列网络安全公司 JSOF 的研究人员在 Treck 公司开发的底层 TCP/IP软件库中发现了 19 个 0day 漏洞，包括 CVE-2020-11896、CVE-2020-11897、CVE-2020-11898、CVE-2020-11899、CVE-2020-11900、CVE-2020-11901、CVE-2020-11902、CVE-2020-11903、CVE-2020-11904、CVE-2020-11905、CVE-2020-11906、CVE-2020-11907、CVE-2020-11908、CVE-2020-11909、CVE-2020-11910、CVE-2020-11911、CVE-2020-11912、CVE-2020-11913、CVE-2020-11914，这些漏洞被 JSOF 命名为“Ripple20”。其中包括了四个严重漏洞：有两个漏洞 CVSS 评分 10 分，CVE-2020-11896 可能导致远程执行代码，CVE-2020-11897 可能导致越界写入。其他两个漏洞的 CVSS 评分分别为 9 和 9.1，CVE-2020-11901 可能导致远程执行代码，CVE-2020-11898 可能导致泄露敏感信息。而其他 15 个漏洞的严重程度不同，CVSS 评分从 3.1 到 8.2。

3. 受影响版本：
  • Treck TCP/IP = 6.0.1.66
  • Treck TCP/IP = 6.0.1.41
  • Treck TCP/IP = 6.0.1.28
  • Treck TCP/IP = 5.0.1.35
  • Treck TCP/IP = 4.7.1.27
4. 漏洞描述：
　　Treck TCP/IP 是专门为嵌入式系统设计的高性能 TCP/IP 协议套件，这一系列漏洞都为内存损坏问题，源于使用不同协议（包括 IPv4，ICMPv4，IPv6，IPv6OverIPv4，TCP，UDP，ARP，DHCP，DNS 或以太网链路层）在网络上发送的数据包的处理错误。“Ripple20”影响广泛领域的物联网设备，涉及 HP、Schneider Electric、Cisco、Rockwell Automation、Caterpillar、Baxter 等众多供应商，可能导致 loT 设备受到拒绝服务和远程命令执行等攻击。
重点漏洞如下：
CVE ID CVSSv3 描述 潜在影响 修复版本
CVE-2020-11896 10 在处理由未经授权的网络攻击者发送的 数据包时，对 IPv4 / UDP 组件中的长度 参数不一致的处理不当。该漏洞可能导致远程执行代码。 远程代码执行 6.0.1.66
(release
30/03/2020)
CVE-2020-11897 10 在处理未经授权的网络攻击者发送的数据包时，对 IPv6 组件中的长度参数不一致的处理不当。该漏洞可能导致越界写入。 越界写入 5.0.1.35
(release
04/06/2009)
CVE-2020-11901 9 处理未经授权的网络攻击者发送的数据包时，DNS 解析器组件中的输入验证不正确。该漏洞可能导致远程执行代码。 远程代码执行 6.0.1.66
(release
30/03/2020)
CVE-2020-11898 9.1 处理未经授权的网络攻击者发送的数据包时，对 IPv4 / ICMPv4 组件中的长度参数不一致的处理不当。该漏洞可能导致敏感信息暴露。 泄露敏感信息 6.0.1.66
(release
30/03/2020)
其他漏洞：
CVE ID CVSSv3分数 描述 固定版本
CVE-2020-11900 8.2 处理网络攻击者发送的数据包时，IPv4隧道组件中可能存在双重释放。该漏洞可能导致Use After Free。 6.0.1.41
(release
10/15/2014)
CVE-2020-11902 7.3 处理未经授权的网络攻击者发送的数据包时，IPv6OverIPv4 隧道组件中的输入验证不正确。该漏洞可能导致越界读取。 6.0.1.66
(release
30/03/2020)
CVE-2020-11904 5.6 处理未经授权的网络攻击者发送的数据包时，内存分配组件中可能存在整数溢出。该漏洞可能导致越界写入。 6.0.1.66
(release
30/03/2020)
CVE-2020-11899 5.4 处理未经授权的网络攻击者发送的数据包时，IPv6 组件中的输入验证不正确。该漏洞可能导致越界读取或拒绝服务。 6.0.1.66
(release
30/03/2020)
CVE-2020-11903 5.3 处理未经授权的网络攻击者发送的数据包时，DHCP 组件中存在越界读取问题。该漏洞可能导致敏感信息泄露。 6.0.1.28
(release
10/10/12)
CVE-2020-11905 5.3 处理未经授权的网络攻击者发送的数据包时，DHCPv6 组件中存在越界读取问题。该漏洞可能导致敏感信息泄露。 6.0.1.66
(release
30/03/2020)
CVE-2020-11906 5 在处理未经授权用户发送的数据包时，以太网链路层组件中输入验证不正确。该漏洞可能导致整数溢出。 6.0.1.66
(release
30/03/2020)
CVE-2020-11907 5 处理未经授权的网络攻击者发送的数据包时，TCP 组件中对参数长度不一致的处理不当。该漏洞可能导致整数溢出。 6.0.1.66
(release
30/03/2020)
CVE-2020-11909 3.7 处理未经授权的网络攻击者发送的数据包时，IPv4 组件中的输入验证不正确。该漏洞可能导致整数溢出。 6.0.1.66
(release
30/03/2020)
CVE-2020-11910 3.7 处理未经授权的网络攻击者发送的数据包时，ICMPv4 组件中的输入验证不正确。该漏洞可能导致越界读取。 6.0.1.66
(release
30/03/2020)
CVE-2020-11911 3.7 处理未经授权的网络攻击者发送的数据包时，ICMPv4 组件中的访问控制不正确。该漏洞可能导致关键资源的权限分配错误。 6.0.1.66
(release
30/03/2020)
CVE-2020-11912 3.7 处理未经授权的网络攻击者发送的数据包时，TCP 组件中的输入验证不正确。该漏洞可能导致越界读取。 6.0.1.66
(release
30/03/2020)
CVE-2020-11913 3.7 处理未经授权的网络攻击者发送的数据包时，IPv6 组件中的输入验证不正确。该漏洞可能导致越界读取。 6.0.1.66
(release
30/03/2020)
CVE-2020-11914 3.1 处理未经授权的网络攻击者发送的数据包时，ARP 组件中的输入验证不正确。该漏洞可能导致越界读取。 6.0.1.66
(release
30/03/2020)
CVE-2020-11908 3.1 处理未经授权的网络攻击者发送的数据包时，DHCP 组件中的 Null Termination不正确。该漏洞可能导致敏感信息泄露。 4.7.1.27
(release
11/08/07)

5. 修复建议及缓解措施：
5.1. 部分漏洞核心问题点以及临时缓解方案如下：
漏洞编号(CVE-2020-*) 问题触发点 缓解措施
11896/11907 ip 分片处理 禁用该功能
11897/11906 ipv4/ipv6 源路由功能 禁用该功能
11898/11900/11902 ip-in-ip隧道 禁用该功能
11899 ff00::/8 广播包 禁止该地址广播包
11901 DNS DNS数据包检测；使用安全DNS
11903/11905 DHCPv4/DHCPv6 禁用 DHCP 客户端；禁用 DHCP 中继
11910/11911 ICMP 禁止特殊的ICMP报文(MTU/地址掩码更新等)
11913/11914 错误的以太网帧 丢弃格式错误的以太网帧
11912 错误的TCP 数据包 检测 TCP SACK和时间戳，丢弃错误的TCP 数据包
5.2. 更新到Treck TCP/IP 6.0.1.67或更高版本
　　目前官方已在最新版本中修复了该漏洞，请相关用户排查基于Treck公司TCP/IP协议的设备使用情况，并及时升级至6.0.1.67或更高版本。
5.3. 临时修补建议
1. 加强网络访问控制，禁止非必要设备接入互联网。设置网络安全防护策略，仅启用安全的远程访问，禁用IP隧道和IP源路由功能、强制执行TCP检查、阻断未使用的ICMP控制消息等。针对物联网设备，禁止IP_IN_IP的访问方式。
2. 通过深度数据包检查阻止异常IP流量，使用Suricata IDS自定义规则检测利用Ripple20漏洞的异常IP流量。 如果使用的防护设备可以自定义规则，则可添加如下规则进行防护：
#IP-in-IP tunnel with fragments
alert ip any any -> any any (msg:"VU#257161:CVE-2020-11896 Fragments inside IP-in-IP tunnel"; ip_proto:4; fragbits:M; rev:1;)
检测规则下载地址：https://github.com/CERTCC/PoC-Exploits/tree/master/vu-257161
3. 部署网络扫描安全监测平台，对内部网络进行扫描监测，对披露的相关品牌资产进行识别，监测暴露的端口、协议接口等敏感信息。

6. 参考链接：
1、https://www.jsof-tech.com/ripple20/
2、https://www.jsof-tech.com/wp-content/uploads/2020/06/JSOF_Ripple20_Technical_Whitepaper_June20.pdf