Ruggedcom ROS sérülékenység

2013. május 9. 08:31

CH azonosító

CH-9157

Angol cím

Ruggedcom ROS Hard-Coded RSA SSL Private Key Update

Felfedezés dátuma

2013.05.08.

Súlyosság

Közepes

Érintett rendszerek

Rugged Operating System (ROS)
RuggedCom

Érintett verziók

Rugged OS 3.11 és korábbi verziók
ROX I OS firmware (RX1000 és RX1100 sorozatú termékek), ROX v1.14.5 és korábbi verziók
ROX II OS firmware (RX5000 és RX1500 sorozatú termékek), ROX v2.3.0 és korábbi verziók
RuggedMax Operating System Firmware (Win7000 and Win7200 base station unit-ok valamint a Win5100 és Win5200 subscriber (CPE) eszközök), a 4.2.1.4621.22 és korábbi firmware verziók.

Összefoglaló

A Ruggedcom ROS egy sérülékenységét jelentették, amit kihasználva a támadók MitM (Man-in-the-Middle) támadást hajthatnak végre, és szolgáltatás megtagadást (DoS – Denial of Service) idézhetnek elő

Leírás

A sérülékenységet az okozza, hogy a Ruggedcom ROS egy fixen beállított RSA SSL kulcsot tartalmaz, amelyet a támadó megszerezve hamisítani tudja az eszköz és a felhasználó közti adatforgalmat, valamint a szolgáltatás megtagadását idézhetik elő a beállítások módosításával.

A sérülékenység nem érinti az eszközön átmenő forgalmat.

A sérülékenységet távolról ki lehet használni.

Megoldás

ROS eszközök: Telepítse a ROS Update v3.12!
ROX eszközök: Javasolt az eszköz SSL és SSL kulcsainak cseréje. A részletekért vegye fel a kapcsolatot a gyártóval!
RuggedMax eszközök SSH szolgáltatás: Cserélje le az SSH kulcsokat! A részletekért vegye fel a kapcsolatot a gyártóval!
RuggedMax eszközök HTTPS/SSL szolgáltatás: Ideiglenes megoldásként kapcsolja ki a HTTPS elérést! A részletekért vegye fel a kapcsolatot a gyártóval!

További javaslatok a kockázatok csökkentésére:

Minimalizálja a vezérlőrendszer eszközök hálózati elérhetőségét! A kritikus eszközök ne érjék el közvetlenül az Internetet!
A vezérlőrendszer hálózatokat és a távolról elérhető eszközöket védje tűzfalakkal és szigetelje el őket az üzleti hálózattól!
Távoli hozzáférés szükségessége esetén használjon olyan biztonsági megoldásokat, mint a virtuális magánhálózat (VPN)!