Risques

  • Déni de service à distance
  • Exécution de code arbitraire à distance

Systèmes affectés

  • Amazon FreeRTOS version 10.4.1
  • Apache Nuttx OS version 9.1.0
  • ARM CMSIS-RTOS2 versions antérieures à 2.1.3
  • ARM Mbed OS version 6.3.0
  • ARM mbed-ualloc version 1.3.0
  • BlackBerry QNX OS for Medical versions antérieures à 1.1.1
  • BlackBerry QNX OS for Safety versions antérieures à 1.0.2
  • BlackBerry QNX SDP versions antérieures à 6.5.0SP1 sans le dernier correctif
  • Cesanta Software Mongoose OS version 2.17.0
  • eCosCentric eCosPro RTOS versions 2.0.1 à 4.5.3
  • Google Cloud IoT Device SDK version 1.0.2
  • Linux Zephyr RTOS versions antérieures à 2.5.0
  • Media Tek LinkIt SDK versions antérieures à 4.6.1
  • Micrium OS, versions antérieures à 5.10.1
  • Micrium uC/OS: uC/LIB versions antérieures à 1.39.00
  • NXP MCUXpresso SDK versions antérieures à 2.8.2
  • NXP MQX versions antérieures à 5.1
  • Redhat newlib versions antérieures à 4.0.0
  • RIOT OS version 2020.01.1
  • Samsung Tizen RT RTOS versions antérieures à 3.0.GBB
  • TencentOS-tiny, version 3.1.0
  • Texas Instruments CC32XX versions antérieures à 4.40.00.07
  • Texas Instruments SimpleLink MSP432E4XX
  • Texas Instruments SimpleLink-CC13XX versions antérieures à 4.40.00
  • Texas Instruments SimpleLink-CC26XX versions antérieures à 4.40.00
  • Texas Instruments SimpleLink-CC32XX versions antérieures à 4.10.03
  • Uclibc-NG versions antérieures à 1.0.36
  • Windriver VxWorks versions antérieures à 7.0
  • Zephyr Project RTOS versions antérieures à 2.5

Résumé

De multiples vulnérabilités ont été découvertes dans les systèmes d'exploitation temps réel (RTOS, Real Time OS). Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance et un déni de service à distance.

Cette famille de vulnérabilités dans les RTOS a été découverte, décrite puis nommée « BadAlloc » par Microsoft, appellation donnée en raison de l’absence de vérification des entrées dans l’allocateur mémoire de tas. Ces vulnérabilités d'exécution de code à distance (RCE) sont référencées par 26 CVEs et affectent potentiellement un large éventail de domaines, de l'IoT grand public et médical à l'IoT industriel, aux technologies opérationnelles (OT) et aux systèmes de contrôle industriel. Une dizaine d’éditeurs sont concernés.

Solution

  • Les intégrateurs de ces RTOS sont invités à prendre contact rapidement avec l’éditeur du produit affecté afin de corriger leurs propres solutions et diffuser le correctif ;
  • Les utilisateurs d’équipements basés sur ces RTOS sont invités à prendre contact avec le fournisseur afin de mettre à jour les équipements affectés ;
  • Il convient en outre d’appliquer les bonnes pratiques référencées dans le guide ANSSI [1] et notamment celles ci-après.
    • S’assurer que les appareils concernés ne sont pas accessibles depuis Internet.
    • S’assurer que les systèmes ne se connectent qu'à des réseaux ou sous-réseaux isolés de confiance. Adopter une démarche de défense en profondeur permet de se protéger contre des menaces qui ne sont pas encore connues, de diminuer le périmètre sur lequel une menace est exercée ou d’en atténuer l’impact. Le simple cloisonnement des réseaux par des pare-feux ne suffit pas. D’autres mécanismes doivent l’accompagner et à différents niveaux (contrôle d’accès physique, durcissement des configurations, protection antivirale...).
    • Inclure des mécanismes de détection et de surveillance des installations. Surveiller de façon permanente les appareils à la recherche de comportements anormaux ou non autorisés tels que la communication avec des hôtes locaux ou distants inconnus. Enfin la collecte des informations au travers des journaux d’alarmes et d’événements est indispensable aux analyses ultérieures. Ces journaux pourront dans certains cas apporter des éléments utiles et des preuves dans le cadre d’une enquête judiciaire.
    • Réduire la surface d'attaque en éliminant les services sans utilité fonctionnelle ou non sécurisés.

[1] Guide de l'ANSSI sur la sécurité industrielle : https://www.ssi.gouv.fr/uploads/IMG/pdf/Guide_securite_industrielle_Version_finale.pdf

Documentation