sierra wireless公司产品漏洞公告更新

======================================================================

原文地址：http://ics-cert.us-cert.gov/advisories/ICSA-14-007-01A

译文地址：http://www.ics-cert.com.cn/?p=158

译文地址：http://blog.youkuaiyun.com/icscert/article/details/18779179

译文作者：ICS-CERT

======================================================================

概述

本公告是ICSA-14-007-01的更新版公告，ICSA-14-007-01是于2014年1月7日在NCCIC/ICS-CERT网站上发布的Sierra Wireless公司产品AirLink Raven X EV-DO漏洞公告。

Cimation公司的研究者发现了Sierra的无线产品AirLinRaven X EV-DO的多个漏洞。SierraWireless已经停止了AirLinkRaven X EV-DO产品，并建议用户使用GX400、GX440或者是LS300作为替代品，来规避这些漏洞。

这些漏洞可以被远程利用。

影响产品

如下版本的产品将受到影响

• AirLink Raven X EV-DO 版本号 V4221_4.0.11.003 和 V4228_4.0.11.003

影响范围

这些漏洞可以使得攻击者远程将设备上的固件程序重新编程，对设备上的固件程序重新编程后，攻击者可以损坏应用程序功能，包括让系统关机。

对于每个组织机构的影响取决于每个组织特有的多方面因素。NCCIC/ICS-CERT建议各组织机构基于自身的操作环境、架构和产品情况来评估这些漏洞产生的影响。

背景

Sirerra Wireless是一家加拿大的公司，其分支机构分布在世界上的很多国家，包括美国、法国和中国。

受到影响的AirLink Raven X EV-DO是一个网关，它用来实现工业、企业和运输系统的连接。对于Sierra Wireless的AirLink Raven X EV-DO来说，它被部署在能源和运行系统部门。Sierra Wireless认为他们的产品主要部署在加拿大、美国和欧洲。

漏洞特征

漏洞概述

敏感数据未加密a

AirLink Raven X EV-DO并未对程序更新和重新编码进行加密。通过使用存在于明文中的用户名和密码，攻击者可以对固件程序进行重新编程。这会使得攻击者损坏固件程序的可用性。

这一漏洞被定义为CVE-2013-2819b. CVSS v2 分数为9.3; CVSS向量字符串为AV:N/AC:M/Au:N/C:C/I:C/A:C).c

利用 Capture-Replay进行身份验证绕过d

AirLink Raven X EV-DO存在一个身份验证绕过漏洞，通过向端口17336和端口17388发送一系列、UDP数据包，可以使得攻击者对固件镜像进行从新编程。这使得攻击者可以破坏固件程序的可用性。

这一漏洞被定义为CVE-2013-2820e. CVSS v2 分数为10.0;CVSS向量字符串为(AV:N/AC:L/Au:N/C:C/I:C/A:C).f

漏洞详细信息

可利用性

这些漏洞可以被远程利用。

Exp代码

目前没有发现针对这些漏洞的Exp代码。

难度

低技术水平的攻击者就可以对这些漏洞进行利用。

解决办法

---------更新第一部分开始 --------

SierraWireless已经终止了AirLink Raven X EV-DO产品，并提供了相关的解决建议参考如下：

http://ics-cert.us-cert.gov/redirect?url=http%3A%2F%2Fwww.sierrawireless.com%2Fresources%2Fsupport%2Fairlink%2Fdocs%2Fraven%2520security%2520vulnerability%25202014-01-10.pdf

---------更新第一部分结束 ----------

额外的信息和下载请参考如下链接：

http://www.sierrawireless.com/Support.aspx

NCCIC/ICS-CERT鼓励所有者采取额外的措施来保护这些风险及其他的安全风险。

• 尽可能的少暴露控制系统设备或系统自身的网络，并确保他们不被互联网访问。
• 在本地控制系统网络和远程设备之间部署防火墙，并将控制网络与企业网络隔离。
• 如果需要远程访问，采用安全的方法，例如VPN，VPN被认为是唯一安全的访问方式。

NCCIC/ICS-CERT当然还提供了针对工业控制信息安全方面的建议在此路径下：

http://ics-cert.us-cert.gov/content/recommended-practices.

很多建议是可以读的，并且可以下载，包括《采用纵深防御策略来提高工业控制系统信息安全》。NCCIC/ICS-CERT 建议各部门进行在部署安全防御时，先适当的进行安全分析和风险评估。

其他相关的解决方案指导和建议发布在了NCCIC/ICS-CERT的技术信息文章上，ICS-TIP-12-146-01Bg，该文章可以在NCCIC/ICS-CERT的网站上下载。

各组织机构如果发现了一些有恶意嫌疑的程序，可以将其报告给NCCIC/ICS-CERT来跟踪和对应这些意外。 

参考文档

• a.CWE-311: Missing Encryption of Sensitive Data, http://cwe.mitre.org/data/definitions/311.html, Web site last accessed January 14, 2014.
• b.NVD, http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2819, NIST uses this advisory to create the CVE Web site report. This Web site will be active sometime after publication of this advisory.
• c.CVSS Calculator, http://nvd.nist.gov/cvss.cfm?version=2&vector=AV:N/AC:M/Au:N/C:C/I:C/A:C, Web site last accessed January 14, 2014.
• d.CWE-294: Authentication Bypass by Capture-replay, http://cwe.mitre.org/data/definitions/294.html, Web site last accessed January 14, 2014.
• e.NVD, http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2820, NIST uses this advisory to create the CVE Web site report. This Web site will be active sometime after publication of this advisory.
• f.CVSS Calculator, http://nvd.nist.gov/cvss.cfm?version=2&vector=AV:N/AC:L/Au:N/C:C/I:C/A:C, Web site last accessed January 14, 2014.