Explorações Ripple20: 19 Vulnerabilidades Críticas Ameaçando Dispositivos IoT/OT Mundialmente

Pesquisadores de cibersegurança da JSOF liberaram lista abrangente de 19 vulnerabilidades críticas, coletivamente conhecidas como Ripple20, que visam a pilha TCP/IP Treck. Esta pilha está embutida em milhões de dispositivos em saúde, transporte, manufatura, telecom e setores de energia, significando que o impacto potencial abrange vasta gama de infraestruturas críticas.

Ripple20 espelha as falhas Urgent/11 de 2019 que afetaram a pilha TCP/IP da Interpeak. Como Urgent/11, os novos problemas permitem execução remota de código e ataques de negação de serviço (DoS). Grandes fornecedores — incluindo HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar e Baxter — já confirmaram exposição a estas fraquezas.

Embora o portfólio IoT industrial da Cisco, como Cyber Vision e o appliance ISA3000, não seja afetado pelo Ripple20, a Cisco reconhece que um subconjunto de seus produtos pode ser vulnerável. O advisory da empresa — disponível aqui — fornece orientação detalhada. O Cyber Vision da Cisco, acoplado a assinaturas Snort geradas pelo Talos, pode detectar e ajudar a remediar ameaças Ripple20 em sua rede.

A Treck, fundada em 1997, entrega pilhas de protocolo otimizadas para sistemas embarcados em tempo real. A pilha é distribuída como código-fonte, permitindo que fornecedores selecionem e personalizem camadas de protocolo para dispositivos IoT com memória restrita. Esta flexibilidade, porém, pode obscurecer a presença de componentes Treck em produtos finais, complicando identificação de vulnerabilidade, especialmente após aquisições corporativas.

Historicamente, a Treck colaborou com a firma japonesa Elmic System (agora Zuken Elmic), produzindo pilhas TCP/IP paralelas para mercados dos EUA e asiáticos. Várias vulnerabilidades Ripple20 também afetam a pilha Zuken Elmic.

Aja Agora: Aborde as Falhas de Maior Risco do Ripple20

Entre os 19 problemas, quatro são classificados como críticos (CVSS >9). Estes representam a maior ameaça, permitindo atacantes executar código arbitrário, lançar ataques DoS ou exfiltrar dados sensíveis. O mais severo, CVE-2020-11901, pode ser disparado por resposta DNS manipulada a uma solicitação do dispositivo, levando a execução remota de código. Como tráfego DNS tipicamente sai da rede, atacantes podem interceptá-lo com relativa facilidade, e os pacotes de exploração cumprem RFCs padrão, tornando detecção por firewall desafiadora.

Para lista completa de vulnerabilidades e detalhes técnicos, visite o site da JSOF aqui.

Detecte Ripple20 em Seu Ambiente IoT/OT

JSOF estima que bilhões de dispositivos podem ser afetados, pois muitos fornecedores embutem partes da pilha Treck. A CISA Industrial Control Systems Cyber Emergency Response Team (ICS-CERT) publicou lista evolutiva de fornecedores impactados aqui. Enquanto advisories de fornecedores continuam surgindo, passos proativos podem ajudar a identificar e mitigar riscos.

O Cisco Cyber Vision mapeia automaticamente sua rede industrial, constrói inventário detalhado de ativos e destaca vulnerabilidades conhecidas — incluindo Ripple20. A base de conhecimento é atualizada regularmente e é gratuita para todos clientes Cyber Vision. Recomendamos baixar a versão mais recente aqui se ainda não o fez.

Dada a natureza do Ripple20 e os desafios de patching de dispositivos legados, você também deve considerar medidas defensivas complementares.

Ações Protetivas Imediatas

Implemente sistemas de detecção de intrusão (IDS) que aproveitem regras Snort do Cisco Talos para sinalizar tentativas de exploração. O Cisco Cyber Vision pode integrar estas regras, enquanto o appliance ISA3000 oferece IDS mais bloqueio em tempo real em formato robusto on-site.

O ISA3000 se destaca em segmentação de rede, isolando dispositivos que não devem se comunicar diretamente, contendo assim potenciais violações.

JSOF recomenda mitigações adicionais que podem ser impostas com o ISA3000, como bloquear fragmentação IP, túnel IP-em-IP, pacotes TCP malformados, mensagens ICMP não utilizadas, e restringir DHCP ou outros protocolos desnecessários.

Para mais informações sobre proteção de sua rede industrial, explore o IoT Security Hub ou contate a Cisco para discutir soluções personalizadas para seu ambiente IoT/OT.