2019年07月30日 | 11项安全漏洞突现，尤显VxWorks安全

2019-07-30 来源：EEWORLD

风河认为，安全性根植于我们的DNA深处。这是我们近40年来在关键任务系统中无尽遗产的组成部分，融汇于我们提供的所有技术之中，帮助我们的客户开发出可靠且值得信赖的解决方案。我们极致重视安全性，正因为如此，最近在TCP/IP（IPnet)）网络堆栈中发现并被强调为“紧急（Urgent）”的11项漏洞，反而更进一步凸显了迄今为止最安全的实时操作系统——VxWorks。

这些漏洞是被网络安全公司Armis发现的。通过互动顺畅的“负责任披露（Responsible Disclosure）”模式，风河公司专设的安全事件响应团队与Armis密切合作，确保客户能够获得通知和所需的补救/补丁。这一共享与协作的流程旨在帮助设备制造商降低其用户的任何潜在风险。我们感谢Armis在发现这些漏洞的过程中为大家所做的一切。

作为世界上应用最广泛、最值得信赖的实时操作系统（RTOS）的供应商，以及领先技术企业的一员，我们有责任建立一个缜密的安全响应流程。我们的客户在许多方面都信赖我们，这便是其中原因之一。

IPnet网络栈是VxWorks某些版本的组件之一，包括生命周期已经结束（EOL）的6.5版本。具体来说，有些互联设备采用的是较老标准版本的VxWorks，其中包含的IPnet堆栈受到了一个或多个已发现漏洞的影响。最新版本的VxWorks不会受这些漏洞的影响。

风河公司的安全关键产品（如VxWorks 653和VxWorks CERT版本）原本的设计目标就具备通过认证的水平，因此也不会受到任何影响。非常重要的一点是，应该注意到，并不是所有发现的漏洞都存在于每一个产品之中。有关受影响/未受影响版本的完整详细信息，请参见安全咨询信息。

这些受影响的设备在我们客户群中只占一小部分，主要存在于企业设备之中，被部署在网络周边面对互联网的部位，如调制解调器、路由器和打印机，以及一些工业和医疗设备。

在这11个漏洞中，有6个是Remote Code Execution（RCE，远程代码执行）漏洞；在这6个漏洞中，有4个可以通过一个简单的防火墙规则予以缓解。到目前为止，没有迹象表明这11个漏洞已造成后果。

这些漏洞并不是风河软件独有的。2006年，风河通过收购Interpeak获得了IPnet Stack。在此项收购之前，这个堆栈已经被广泛授权给许多其他RTOS供应商并由其部署在应用中。

深度防御的重要性

在代码中找到漏洞是非常困难的，而且有些人会以您没有预料到的方式对这些代码发起攻击。实际上，安全漏洞在未被发现的情况下运行很多年，这并非十分罕见的情况。这样的实例有很多：Spectre/Meltdown 就曾经存在于数十家制造商生产的数百万个处理器中，使用了十多年之后才被发现；OpenSSL漏洞，例如HeartBleed也暗藏了很多年。事实上，现代软件系统非常复杂，功能非常丰富，多年来编写的大量代码，不断提高对安全编程的认识，并不断提高审查水平。

以下VxWorks内置的安全特性可用于建构一个强大的系统，并且可以对已经发现的IPnet漏洞做出防护：

VxWorks安全特性	原则	类别	实现
不可执行堆栈	可用性	侵入防护	恶意软件防护
实时进程	保密性	隔离	分区
系统调用访问控制	可用性	白名单	访问控制
任务堆栈溢出/不足	可用性	侵入防护	恶意软件防护
防火墙	可用性	侵入防护	防火墙
确定性内存使用	可用性	对策	证明

要定义一套完整的安全策略，就必须对客户的系统进行全面审核。

《国土安全》有文章指出，“任何组织机构都不能依靠单一对策来解决全部安全问题。”美国国家安全局下属的信息保护署(Information Assurance Directorate）也有文章*指出，“不幸的是，将一个SKPP认证的内核作为系统组成部分，并不能立即使系统在整体上具备高度的稳健性。”简单来说，仅仅依赖单个组件，这是一种失败的安全策略。

利用风河软件构建安全系统

虽然没有任何软件能够抵御零时差攻击（Zero-Day Vulnerabilities），但客户可以应用风河公司的软件来构建他们的可信赖系统。我们的产品发布流程极为严格，包括回归/网络测试、静态分析和恶意软件扫描。我们的CVE监控/评估，再加上安全服务产品，可以确保最初部署的就是最坚固的系统，而且在该系统的整个生命周期内提供维护。我们还得到了由Armis等公司组成的强大安全生态系统的支持。

VxWorks 安全漏洞

上一篇:中国AI安防产业链盘点：涵盖6大业务领域

下一篇:五眼联盟：数据加密不应以牺牲公众安全为代价