Af Eskil Sørensen, 17/06/20
Et gammelt kodebibliotek fra 90’erne viser sig nu at indeholde sårbarheder, der påvirker sikkerheden i en lang række IoT-produkter af i dag. Det drejer sig om et TCP / IP-library (kodebibliotek), man bruger til software, når det skal kommunikere via internettet. Biblioteket blev udviklet for godt 20 år siden og er blevet brugt og integreret i utallige produkter til virksomheder og forbrugere.
Problemet er, at det ikke kun er blevet brugt af leverandører af udstyr, men også integreret i softwarepakker. Det betyder, at mange virksomheder ikke engang er klar over, at de bruger dette bestemte stykke kode. Af den grund frygtes det, at produkter der bruger det pågældende bibliotek, sandsynligvis ikke bliver opdateret.
Det er en række sikkerhedseksperter fra Israel, der har undersøgt kodebiblioteket, man antager første gang blev introduceret i 1997 af softwarevirksomheden Treck.
Millioner af produkter
Patches til sårbarhederne, som omtales som Ripple20, skulle efter det oplyste være tilgængelige.
Men ifølge forskerne er det ikke nok, at de er tilgængelige. Der forestår lidt af et arbejde for alle de leverandører af produkter med TCP / IP-bibliotek at opdatere deres produkter.
Antallet af produkter med det pågældende bibliotek anslås ifølge ZDnet at være "hundreder af millioner" og omfatter produkter som IoT-enheder og softwarepakker lige fra udstyr til elnettet, systemer i sundhedsvæsenetet, udstyr til industrien, transportsystemer, printere, routere, mobil / satellit kommunikationsudstyr, datacenter enheder, forskellige virksomhedsløsninger og mange andre.
Ripple20 betyder ikke 20 sårbarheder
Sårbarhederne har ifølge ZDnet fået navnet Ripple20 efter årstallet 2020, og ikke fordi der er 20 sårbarheder.
Ripple betyder oversat fra engelsk krusning i vandoverfladen eller ringe i vandet. Titlen ”Ripple” giver på den måde god mening, eftersom de 19 fundne sårbarheder ikke kun påvirker dette ene bibliotek, men alle de produkter, der anvender biblioteket. På den måde spredes sårbarheden som ringe i vandet.
Fire af sårbarhederne har af Homeland Security fået scoren 9,8 til 10 på sårbarhedsskalaen, der går fra 1 til 10.