AMNESIA：33 多个TCP/IP开源代码库漏洞通告

　　事件简述

　　2020年12月15日，Forescout 发布了 AMNESIA:33 的研究报告。AMNESIA:33 是指存在于 4 个开源的TCP/IP开发组件库中的 33 个漏洞。影响 uIP / FNET / picoTCP / Ethernut(Nut/Net) 。根据 Forescout 发布的通告超过 150 种产品受到这些漏洞的影响。建议广大用户及时将 Nut/Net,picoTCP,uIP,FNET 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

　　漏洞详情

　　CVE-2020-25111: 代码执行漏洞

　　Nut/Net 在处理DNS请求时存在一处越界写漏洞。

　　攻击者通过向受影响的设备发送特制请求包，可造成远程代码执行。

　　CVE-2020-24338: 代码执行漏洞

　　picoTCP 在处理DNS请求中的域名时，存在一处越界写漏洞。

　　攻击者通过向受影响的设备发送特制请求包，可造成远程代码执行。

　　CVE-202024336: 代码执行漏洞

　　uIP 在处理DNS记录时，因未校验返回包的长度，导致存在一处越界读漏洞。

　　攻击者通过向受影响的设备发送特制请求包，可造成远程代码执行。

　　影响版本

　　– fnet:fnet : <4.7.0

　　– micro_ip:uip : <4.6.0

　　– picotcp:picotcp : 暂无公开版本

　　– nutnet:nut_net : <5.1

　　主要受影响的组件如下

　　– Devolo

　　– EMU Electronic AG

　　– FEIG

　　– Genetec

　　– Harting

　　– Hensoldt

　　– Microchip

　　– Nanotec

　　– NT-Ware

　　– Tagmaster

　　– Siemens

　　– Uniflow

　　– Yanzi Networks

　　修复建议

　　通用修补建议

　　对相关组件进行升级，因为是底层依赖库的问题，使用受到产品的用户需要联系产品厂家提供技术支持。

　　– FNET : 4.7.0

　　– uIP : 4.6.0

　　– picoTCP : 暂无公开版本

　　– Nut/Net 5.1

　　参考链接

　　ICS Advisory ICSA-20-343-01

　　AMNESIA:33白皮书

　　AMNESIA:33: Researchers Disclose 33 Vulnerabilities Across Four Open Source TCP/IP Libraries