VxWorks多个清静误差清静通告

宣布时间 2019-07-30

◆ 误差编号和级别


CVE编号：CVE-2019-12256 ，，，，危险级别：严重 ，，，，CVSS分值：厂商自评：9.8 ，，，，官方未评定
CVE编号：CVE-2019-12257 ，，，，危险级别：高危 ，，，，CVSS分值：厂商自评：8.8 ，，，，官方未评定
CVE编号：CVE-2019-12255 ，，，，危险级别：严重 ，，，，CVSS分值：厂商自评：9.8 ，，，，官方未评定
CVE编号：CVE-2019-12260 ，，，，危险级别：严重 ，，，，CVSS分值：厂商自评：9.8 ，，，，官方未评定
CVE编号：CVE-2019-12261 ，，，，危险级别：高危 ，，，，CVSS分值：厂商自评：8.8 ，，，，官方未评定
CVE编号：CVE-2019-12263 ，，，，危险级别：高危 ，，，，CVSS分值：厂商自评：8.1 ，，，，官方未评定
CVE编号：CVE-2019-12258 ，，，，危险级别：高危 ，，，，CVSS分值：厂商自评：7.5 ，，，，官方未评定
CVE编号：CVE-2019-12259 ，，，，危险级别：中危 ，，，，CVSS分值：厂商自评：6.3 ，，，，官方未评定
CVE编号：CVE-2019-12262 ，，，，危险级别：高危 ，，，，CVSS分值：厂商自评：7.1 ，，，，官方未评定
CVE编号：CVE-2019-12264 ，，，，危险级别：高危 ，，，，CVSS分值：厂商自评：7.1 ，，，，官方未评定

CVE编号：CVE-2019-12265 ，，，，危险级别：中危 ，，，，CVSS分值：厂商自评：5.4 ，，，，官方未评定


◆ 影响版本


受影响的版本

 

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


◆ 误差概述


VxWorks是天下上使用最普遍的一种在嵌入式系统中安排的实时操作系统 ，，，，是由美国WindRiver公司（简称风河公司 ，，，，即WRS 公司）于1983年设计开发的 ，，，，VxWorks被凌驾20亿台装备使用 ，，，，包括要害基础设施 ，，，，网络装备 ，，，，医疗装备 ，，，，工业系统甚至航天器。。。。。�？？？ ？？？？梢运荡覲LC到MRI机械 ，，，，到防火墙和打印机 ，，，，再到飞机 ，，，，火车等等都有普遍应用。。。。。。


克日 ，，，，VxWorks官方宣布了清静误差通告称修复了由Armis研究团队发明并报告的11个清静误差 ，，，，其中有6个可导致远程代码执行（RCE）误差 ，，，，CVE-2019-12256、CVE-2019-12255、CVE-2019-12260 CVSS评分为9.8分。。。。。。其余5个误差可能导致拒绝效劳 ，，，，信息走漏或归类为逻辑缺陷。。。。。。这些误差保存于VxWorks的TCP/IP客栈（IPnet）中 ，，，，影响VxWorks 7 (SR540 and SR610)、VxWorks 6.5-6.9及使用Interpeak自力网络客栈的VxWorks版本。。。。。。攻击者可以使用其中误差实现无需用户交互及认证实现远程攻击 ，，，，最终在完全控制相关装备。。。。。。


在全球 ，，，，使用VxWorks的数目有126460个 ，，，，其中中国有25046个 ，，，，漫衍如下：

 

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


◆ 误差验证


现在Armis研究团队宣布了乐成使用误差控制了SonicWall防火墙、Xerox打印机、病人监护仪的演示视频 ，，，，可是没有宣布误差相关细节或误差验证程序。。。。。。


◆ 修复建议


SonicWall及Xerox官方均已经宣布相关误差更新。。。。。。
SonicWall：https://blog.sonicwall.com/en-us/2019/07/wind-river-vxworks-and-urgent-11-patch-now/
Xerox：https://security.business.xerox.com/en-us/


◆ 参考链接


https://armis.com/urgent11/ 
https://www.windriver.com/security/announcements/tcp-ip-network-stack-ipnet-urgent11/