NÚCLEO: 13 fallas de seguridad de TCP afectan a equipos de atención médica críticos

Los investigadores publicaron hoy detalles de una serie de 13 vulnerabilidades en el sistema operativo en tiempo real Nucleus (RTOS) de Siemens, que alimenta dispositivos médicos, industriales, automotrices y aeroespaciales.

Los errores conocidos como NUCLEUS: 13 afectan la pila Nucleus TCP / IP y podrían usarse para lograr la ejecución remota de código en dispositivos vulnerables, crear una condición de denegación de servicio u obtener información que podría llevar a consecuencias perjudiciales.

Las vulnerabilidades NUCLEUS: 13 fueron descubiertas por investigadores de la empresa de ciberseguridad Forescout y Medigate, una empresa que se centra en la seguridad de los dispositivos para los proveedores de atención médica.

La investigación es la parte final de una iniciativa de Forescout más grande llamada Proyecto Memoria, que reunió a colegas de la industria, universidades e institutos de investigación para analizar la seguridad de múltiples pilas de TCP / IP.

El Proyecto Memoria duró 18 meses y resultó en el descubrimiento de 78 vulnerabilidades en 14 pilas de TCP / IP presentadas en estudios publicados como AMNESIA: 33, NÚMERO: JACK, NOMBRE: WRECK e INFRA: HALT.

Otra investigación en línea con el objetivo de Project Memoria es Ripple20 del grupo de investigación de seguridad JSOF, que descubrió 19 errores en la pila TCP / IP patentada de Treck.

Tres errores de ejecución de código remoto

Una decena de los errores de NUCLEUS: 13 recibieron niveles de gravedad media y alta, destacando CVE-2021-31886, un error crítico que afecta al componente del servidor FTP y podría permitir que un atacante tome el control del dispositivo vulnerable.

En un informe publicado hoy, Forescout descubrió que el problema se debía a que el servidor FTP no verificaba correctamente la longitud del comando USER. Esto conduce a desbordamientos de búfer basados ​​en pilas que pueden conducir a condiciones de ejecución remota de código (DoS) y ejecución de código (RCE).

Como se puede ver en la imagen de arriba, otras dos vulnerabilidades de alta gravedad (CVE-2021-31887 y CVE-2021-31888) tienen un impacto potencial en RCE y ambas afectan el componente del servidor FTP.

Forescout informó en una publicación de blog que anunciaba una serie de vulnerabilidades de que Nucleus RTOS se usa en «más de 3 mil millones de dispositivos» en sistemas críticos y de atención médica.

Según la visibilidad de la empresa, una versión vulnerable de Nucleus RTOS se está ejecutando en más de 5.000 dispositivos, la mayoría de ellos en el sector de la salud.

Para mostrar la gravedad de NUCLEUS: 13, Forescout describió dos escenarios de piratería. Uno apuntó al sistema de automatización de un edificio de un hospital para bloquear un controlador que encendería automáticamente un ventilador y luces cuando alguien ingresara a la habitación de un paciente.

En el segundo escenario, el objetivo era un sensor de presencia en la infraestructura ferroviaria que detecta cuándo llega un tren a la estación y controla cuánto tiempo se detiene.

Si el controlador chocaba con uno de los errores DoS en la suite NUCLEUS: 13, un atacante podría hacer que el tren pasara por la estación y posiblemente colisionara con otro tren u objetos en la vía.

El investigador de Forescout Stanislav Dashevskyi demostró el NUCLEUS: 13 ataques en el siguiente video

Mitigación de NUCLEUS: 13 problemas

Siemens ha publicado actualizaciones que corrigen las vulnerabilidades de NUCLEUS: 13 en Nucleus ReadyStart Versión 3 (actualización a v2017.02.4 o superior) y 4 (actualización a v4.1.1 o superior).

Una recomendación de la Agencia de Seguridad de Infraestructura y Ciberseguridad de los EE. UU. (CISA) prevé hoy las siguientes medidas generales de mitigación:

  • Minimice la carga de la red en cualquier dispositivo y / o sistema del sistema de control y asegúrese de que no sea accesible desde Internet.
  • Ubique redes de control y dispositivos remotos detrás de firewalls y aíslelos de la red corporativa.
  • Si se requiere acceso remoto, use métodos seguros como redes privadas virtuales (VPN) para identificar que las VPN pueden ser vulnerables y deben actualizarse a la última versión disponible. Además, tenga en cuenta que la VPN es tan segura como sus dispositivos conectados.
  • La herramienta Project Memoria Detector de código abierto de Forescout puede ayudar a los proveedores a identificar los productos afectados por las vulnerabilidades NUCLEUS: 13, así como los problemas identificados en investigaciones anteriores de TCP / IP realizadas por la empresa.

Para las organizaciones donde actualmente no es posible aplicar parches debido a la naturaleza crítica de los dispositivos afectados, Forescout ofrece la siguiente estrategia de mitigación de riesgos:

  • Detectar e inventariar dispositivos que ejecutan Nucleus con Project Memoria Detector, que utiliza huellas digitales activas para encontrar sistemas que ejecutan Nucleus.
  • Hacer cumplir los controles de segmentación y la higiene adecuada de la red; Restrinja las líneas de comunicación externas y aísle o bloquee los dispositivos vulnerables en las zonas para mitigar el control cuando no se puedan parchear o hasta que se puedan parchear.
  • Supervise los parches progresivos lanzados por los fabricantes de dispositivos afectados y cree un plan de reparación para su activo vulnerable que equilibre el riesgo comercial y los requisitos de continuidad comercial
  • Supervise todo el tráfico de la red en busca de paquetes maliciosos que intenten explotar vulnerabilidades conocidas o posibles 0 días. El tráfico de datos anómalos y defectuosos debe bloquearse o al menos informarse al operador de la red.

Entradas relacionadas: