Ripple20脆弱性：世界のIoT/OTデバイスを脅かす19のクリティカル脆弱性

サイバーセキュリティ研究者JSOFが、Treck TCP/IPスタックを標的とする19のクリティカル脆弱性——総称してRipple20——の包括的リストを公開。このスタックは医療、輸送、製造、通信、エネルギー分野の数百万デバイスに組み込まれており、潜在的影響は広範なクリティカルインフラに及びます。

Ripple20は、2019年のInterpeak TCP/IPスタックに影響したUrgent/11脆弱性を彷彿とさせます。Urgent/11同様、新たな問題もリモートコード実行とDoS攻撃を可能にします。HP、シュナイダーエレクトリック、インテル、ロックウェルオートメーション、キャタピラー、バクスターなど主要ベンダーが既にこれら弱点への曝露を確認済み。

シスコの産業用IoTポートフォリオ（Cyber Vision、ISA3000アプライアンス等）はRipple20の影響を受けませんが、シスコ製品のサブセットが脆弱である可能性を認めています。詳細ガイダンスを提供するシスコアドバイザリはこちら。シスコCyber VisionとTalos生成Snortシグネチャの組み合わせで、ネットワーク内のRipple20脅威を検知・修復支援可能です。

1997年設立のTreckは、リアルタイム組み込みシステム向け最適化プロトコルスタックを提供。スタックはソースコードとして配布され、ベンダーがメモリ制約IoTデバイスに合わせプロトコルレイヤーを選択・調整可能。この柔軟性が、特に企業買収後、最終製品におけるTreckコンポーネントの存在を曖昧にし、脆弱性特定を困難にしています。

歴史的にTreckは日本企業エルミックシステム（現ズーケンエルミック）と協業し、米国とアジア市場向け並行TCP/IPスタックを生産。複数のRipple20脆弱性がズーケンエルミックスタックにも影響。

今すぐ行動：Ripple20最高リスク欠陥への対処

19件中4件がクリティカル（CVSS >9）評価。これらが最大の脅威で、任意コード実行、DoS攻撃、機密データ窃取を可能に。最も深刻なCVE-2020-11901は、デバイス要求への細工されたDNS応答でトリガーされ、リモートコード実行を誘発。DNSトラフィックは通常ネットワーク外へ出るため、攻撃者が比較的容易に傍受可能、かつエクスプロイトパケットが標準RFC準拠のためファイアウォール検知が困難。

全脆弱性リストと技術詳細は、JSOFウェブサイトこちらでご確認ください。

IoT/OT環境でのRipple20検出

JSOFは数十億デバイスが影響を受ける可能性と推定、多くのベンダーがTreckスタックの一部を組み込むため。CISA産業制御システムサイバー緊急対応チーム（ICS-CERT）が影響ベンダーの進化するリストをこちらで公開。ベンダーアドバイザリが継続的に出る中、プロアクティブな措置でリスク特定・軽減が可能。

シスコCyber Visionは産業ネットワークを自動マッピングし、詳細資産インベントリを構築、Ripple20を含む既知脆弱性をハイライト。ナレッジベースは定期更新され、全Cyber Vision顧客に無料提供。未ダウンロードの場合はこちらから最新版を取得推奨。

Ripple20の性質とレガシーデバイスパッチの困難さを考慮し、補完的防御策も検討すべきです。

即時保護アクション

シスコTalos Snortルールを活用した侵入検知システム（IDS）を導入し、悪用試行をフラグ。シスコCyber Visionでこれらルールを統合可能、ISA3000アプライアンスはIDSに加え、ラギッドなオンサイト形式でリアルタイムブロッキング機能を提供。

ISA3000はネットワークセグメンテーションに優れ、直接通信すべきでないデバイスを隔離し、潜在的侵害を封じ込めます。

JSOF推奨の追加緩和策（IP断片化ブロック、IP-in-IPトンネリングブロック、不正TCPパケットブロック、未使用ICMPメッセージ制限、DHCP等不要プロトコル制限）もISA3000で施行可能。

産業ネットワーク保護の詳細については、IoTセキュリティハブをご覧いただくか、シスコまでお問い合わせください。お客様のIoT/OT環境に合わせたソリューションをご提案します。