По словам экспертов по кибербезопасности из компаний Trend Micro, TXOne Networks, Alias Robotics и ADLINK Technology, в IoT-протоколе DDS существует множество уязвимостей разных классов. Этот протокол используют НАСА, Siemens и Volkswagen.
DDS поддерживает организация по разработке стандартов Object Management Group (OMG). Это протокол связующего ПО и API-стандарта для обмена данными, который рекомендуется для критически важных IoT-систем, включая общественный транспорт, медицину, управление воздушным движением и ракетными установками.
Существуют реализации протокола с открытым и закрытым исходным кодом, включая ADLINK Technology, Eclipse (CycloneDDS), eProsima (Fast DDS), OCI (OpenDDS), TwinOaks Computing (CoreDX DDS), Gurum Networks (GurumDDS) и RTI (Connext DDS). Исследователи проанализировали стандарт DDS в обеих реализациях и обнаружили в общей сложности более десятка уязвимостей.
Среди найденных уязвимостей — некорректный способ обработки невалидной структуры, возможность переполнения буфера, сетевая амплификация и другие. Злоумышленники могут использовать эти дефекты для выполнения произвольного кода, DOS-атак или получения информации. Исследователи отметили также, что кодовая база DDS большая и сложная, и это исследование лишь поверхностно.
Тем временем Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило рекомендации, связанные с этим исследованием. В информационном бюллетене содержится уведомление об обнаруженных уязвимостях и меры по снижению рисков. Согласно CISA, были выпущены патчи для CycloneDDS, FastDDS, OpenDDS, Connext DDS и CoreDX DDS.
habr.com
DDS поддерживает организация по разработке стандартов Object Management Group (OMG). Это протокол связующего ПО и API-стандарта для обмена данными, который рекомендуется для критически важных IoT-систем, включая общественный транспорт, медицину, управление воздушным движением и ракетными установками.
Существуют реализации протокола с открытым и закрытым исходным кодом, включая ADLINK Technology, Eclipse (CycloneDDS), eProsima (Fast DDS), OCI (OpenDDS), TwinOaks Computing (CoreDX DDS), Gurum Networks (GurumDDS) и RTI (Connext DDS). Исследователи проанализировали стандарт DDS в обеих реализациях и обнаружили в общей сложности более десятка уязвимостей.
Среди найденных уязвимостей — некорректный способ обработки невалидной структуры, возможность переполнения буфера, сетевая амплификация и другие. Злоумышленники могут использовать эти дефекты для выполнения произвольного кода, DOS-атак или получения информации. Исследователи отметили также, что кодовая база DDS большая и сложная, и это исследование лишь поверхностно.
Тем временем Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило рекомендации, связанные с этим исследованием. В информационном бюллетене содержится уведомление об обнаруженных уязвимостях и меры по снижению рисков. Согласно CISA, были выпущены патчи для CycloneDDS, FastDDS, OpenDDS, Connext DDS и CoreDX DDS.
Исследователи: хакеры могли получить доступ к IoT-протоколу DDS, который используют НАСА, Siemens и Volkswagen
По словам экспертов по кибербезопасности из компаний Trend Micro, TXOne Networks, Alias Robotics и ADLINK Technology, в IoT-протоколе DDS существует множество уязвимостей разных классов. Этот...
habr.com