VxWorks多个安全缝隙安全公告
颁布功夫 2019-07-30◆ 缝隙编号和级别
CVE编号：CVE-2019-12257，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：厂商自评：8.8，，，，，，，，官方未评定
CVE编号：CVE-2019-12255，，，，，，，，危险级别：严沉，，，，，，，，CVSS分值：厂商自评：9.8，，，，，，，，官方未评定
CVE编号：CVE-2019-12260，，，，，，，，危险级别：严沉，，，，，，，，CVSS分值：厂商自评：9.8，，，，，，，，官方未评定
CVE编号：CVE-2019-12261，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：厂商自评：8.8，，，，，，，，官方未评定
CVE编号：CVE-2019-12263，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：厂商自评：8.1，，，，，，，，官方未评定
CVE编号：CVE-2019-12258，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：厂商自评：7.5，，，，，，，，官方未评定
CVE编号：CVE-2019-12259，，，，，，，，危险级别：中危，，，，，，，，CVSS分值：厂商自评：6.3，，，，，，，，官方未评定
CVE编号：CVE-2019-12262，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：厂商自评：7.1，，，，，，，，官方未评定
CVE编号：CVE-2019-12264，，，，，，，，危险级别：高危，，，，，，，，CVSS分值：厂商自评：7.1，，，，，，，，官方未评定
CVE编号：CVE-2019-12265，，，，，，，，危险级别：中危，，，，，，，，CVSS分值：厂商自评：5.4，，，，，，，，官方未评定
◆ 影响版本
◆ 缝隙概述
VxWorks是世界上使用最宽泛的一种在嵌入式系统中部署的实时操作系统，，，，，，，，是由美国WindRiver公司（简称风河公司，，，，，，，，即WRS 公司）于1983年设计开发的，，，，，，，，VxWorks被超过20亿台设备使用，，，，，，，，蕴含关键基础设施，，，，，，，，网络设备，，，，，，，，医疗设备，，，，，，，，工业系统甚至航天器。。。。。。。 � ？？？？？？Ｄ芄凰荡覲LC到MRI机械，，，，，，，，到防火墙和打印机，，，，，，，，再到飞机，，，，，，，，火车等等都有宽泛利用。。。。。。。 。
近日，，，，，，，，VxWorks官方颁布了安全缝隙布告称建复了由Armis钻研团队发现并汇报的11个安全缝隙，，，，，，，，其中有6个可导致远程代码执行（RCE）缝隙，，，，，，，，CVE-2019-12256、CVE-2019-12255、CVE-2019-12260 CVSS评分为9.8分。。。。。。。 。其余5个缝隙可能导致回绝服务，，，，，，，，信息泄漏或归类为逻辑缺点。。。。。。。 。这些缝隙存在于VxWorks的TCP/IP仓库（IPnet）中，，，，，，，，影响VxWorks 7 (SR540 and SR610)、VxWorks 6.5-6.9及使用Interpeak独立网络仓库的VxWorks版本。。。。。。。 。攻击者能够利用其中缝隙实现无需用户交互及认证实现远程攻击，，，，，，，，最终在齐全节造有关设备。。。。。。。 。
◆ 缝隙验证
目前Armis钻研团队颁布了成功利用缝隙节造了SonicWall防火墙、Xerox打印机、病人监护仪的演示视频，，，，，，，，但是没有颁布缝隙有关细节或缝隙验证法式。。。。。。。 。
◆ 建复建议
SonicWall：https://blog.sonicwall.com/en-us/2019/07/wind-river-vxworks-and-urgent-11-patch-now/
Xerox：https://security.business.xerox.com/en-us/
◆ 参考链接
https://www.windriver.com/security/announcements/tcp-ip-network-stack-ipnet-urgent11/
京公网安备11010802024551号