آسیب‌پذیری‌های بحرانی در RTOS‌های دستگاه‌های پزشکی و صنعتی

شرکت امنیتی IoT آرمیس (Armis) تأیید کرده است که 11 آسیب‌پذیری‌ بحرانی (Urgent / 11) بر روی چندین سیستم‌عامل بلادرنگ (RTOS) به غیر از VxWorks تأثیر مخرب می‌گذارد.

آرمیس در اواخر ماه ژوئیه فاش کرد که میلیون‌ها دستگاهی که از VxWorks Wind River استفاده می‌کردند، تحت تأثیر این آسیب‌پذیری‌ها قرار گرفته‌اند و که می‌‎تواند منجر به کنترل کامل این دستگاه‌ها شود.

چندین ارائه دهنده راهکار اصلی صنعتی و اتوماسیون که محصولات آنها از VxWorks استفاده می‌کنند، توصیه‌هایی را برای اطلاع رسانی به کاربران در مورد این آسیب‌پذیری‌ها صادر کرده‌اند.

آرمیس در زمان انتشار اولین یافته‌های خود خاطرنشان کرد که این نقص‌ها در پشته VxWorks IPnet TCP / IP وجود دارند و هشدار داد که ممکن است RTOS‌های دیگری نیز تحت تأثیر آن قرار گیرند؛ همچنین تاکید کرد که Interpeak این پشته IPnet را قبل از دستیابی توسط Wind River در سال 2006 به سایر فروشندگان ارایه داده است. ‌

اکنون آرمیس می‌گوید شش RTOS دیگر را شناسایی کرده است که از این پشته IPnet مشکل ساز استفاده می‌کنند که عبارتند از: ZebOS توسط IP Infusion ،ITRON توسط TRON Forum ،OSE توسط ENEA ،Nucleus RTOS توسط Mentor ،Integrity توسط Green Hills و ThreadX توسط مایکروسافت.

مایکروسافت می‌گوید که ThreadX RTOS توسط این شرکت، دیگر ارسال نمی‌شود و مشخصاً نیز از IPnet پشتیبانی نمی‌کند، اما برخی از فروشندگان سخت‌افزار ممکن است از ThreadX با یک IPnet سفارشی استفاده کرده باشند.

TRON ادعا می‌کند که استفاده از پشته TCP / IP خاصی را تأیید نمی‌کند؛ زیرا این وظیفه توسعه دهندگان است که تصمیم بگیرند از چه سیستمی استفاده کنند و برخی ممکن است IPnet Interpeak را انتخاب کنند. CISA نیز می‌گوید که توسعه دهندگان ZebOS هنوز هیچ نظری در این باره نداده‌اند.

سازمان غذا و داروی ایالات متحده (FDA) یک ارتباط ایمنی برای هشداردهی به بیماران، ارایه دهندگان مراقبت‌های بهداشتی و تولید کنندگان در مورد خطرات ناشی از این 11 آسیب‌پذیری صادر کرده است.

FDA تصریح کرد: “گرچه نرم‌افزار IPnet ممکن است دیگر توسط فروشنده اصلی نرم‌افزار پشتیبانی نشود، اما برخی از تولید کنندگان این اجازه را دارند که پشتیبانی خود را از آن ادامه دهند. بنابراین، این نرم‌افزار ممکن است در سایر برنامه‌های نرم‌افزاری، تجهیزات و سیستم‌هایی که ممکن است در انواع دستگاه‌های پزشکی و صنعتی مورد استفاده قرار بگیرد گنجانیده شده باشد.”