Из крупных целей для атак, в которых используется TCP/IP-стек Treck, можно отметить сетевые принтеры HP, чипы Intel, а также оборудование Hewlett Packard Enterprise, Baxter, Caterpillar, Digi, Rockwell Automation и Schneider Electric. В том числе проблемы в TCP/IP-стеке Treck оказались причиной недавних удалённых уязвимостей в подсистемах Intel AMT и ISM, эксплуатируемых через отправку сетевого пакета.
Проблемы найдены в реализации протоколов IPv4, IPv6, UDP, DNS, DHCP, TCP, ICMPv4 и ARP, и вызваны некорректной обработкой параметров о размере данных, ошибками проверки входной информации, двойном освобождении памяти, чтения из области вне буфера, целочисленными переполнениями, некорректным контролем доступа и проблемами при обработке строк с нулевым разделителем.
Две наиболее опасные проблемы (CVE-2020-11896,CVE-2020-11897) , которым присвоен уровень CVSS 10, позволяют выполнить свой код на устройстве через отправку определённым образом оформленных пакетов IPv4/UDP или IPv6. Другие две уязвимости (CVE-2020-11898, CVE-2020-11899) позволяют через отправку специально оформленного пакета IPv4/ICMPv4 или IPv6 узнать содержимое областей памяти системы. Уязвимость(CVE-2020-11901) в DNS-резолвере позволяет выполнить код через отправку специально оформленного DNS-запроса. Остальные проблемы могут привести к отказу в обслуживании или утечке остаточных данных из системных буферов.
Уязвимости устранены в выпуске Treck 6.0.1.67. Так как выпуск обновлений прошивок для конкретных устройств может затянуться или невозможен (стек Treck поставляется более 20 лет, многие устройства остались без сопровождения или их проблематично обновить), администраторам рекомендуется изолировать проблемные устройства и настроить на системах инспектирования пакетов, межсетевых экранах или маршрутизаторах нормализацию или блокирование фрагментированных пакетов, заблокировать IP-туннели IPv6-in-IPv4 и IP-in-IP, заблокировать «source routing», активировать инспектирование некорректных опций в TCP-пакетах, блокировать неиспользуемые управляющие ICMP-сообщения (MTU Update и Address Mask), запретить IPv6 multicast, перенаправлять DNS-запросы к защищённому рекурсивному DNS-серверу.
Источник: http://www.opennet.ru/opennews/art.shtml?num=53170