Mehrere Schwachstellen im RIOT Betriebssystem gefährden IoT-Geräte
Im Realzeit Betriebssystem RIOT, das häufig auf IoT-Geräten verwendet wird, wurden mehrere kritische Sicherheitslücken entdeckt. Diese Entdeckung wurde von HN Security am 7. Mai 2024 veröffentlicht und umfasst Schwachstellen, die als hoch bis kritisch eingestuft werden.
RIOT ist ein kostenloses, quelloffenes Echtzeitbetriebssystem, das eine breite Palette von Mikrocontroller-Architekturen unterstützt und vor allem in der IoT-Branche eingesetzt wird. Die identifizierten Schwachstellen könnten es Angreifern ermöglichen, Speicherfehler auszulösen, die von Denial-of-Service-Angriffen bis hin zu potenzieller willkürlicher Codeausführung reichen.
Die schwerwiegendsten Probleme, die unter den CVE-IDs 2024-31225, 2024-32017 und 2024-32018 geführt werden, betreffen verschiedene Komponenten des Systems wie die Verarbeitung von Netzwerkprotokollen und Gerätetreibern. Diese Mängel ermöglichen unter anderem Pufferüberläufe und unsachgemäße Größenprüfungen, die bei Ausnutzung zu einem Systemabsturz oder einer Kompromittierung führen können.
Die von der kritischen Sicherheitslücke CVE-2024-32017 betroffenen Funktionen gcoap_dns_server_proxy_get() und _gcoap_forward_proxy_copy_options() im RIOT OS enthalten fehlerhafte Sicherheitsüberprüfungen. In der ersten Funktion wurde ein Tippfehler festgestellt, bei dem die Länge der Variablen _uri statt _proxy geprüft wird, was zu einem Buffer Overflow führen kann, wenn ein Angreifer kontrollierte Eingaben macht, die die Buffergröße überschreiten. In der zweiten Funktion fehlt eine explizite Größenprüfung für die cep->req_etag Puffer, die bei Überschreitung ebenfalls einen Buffer Overflow verursachen können.
Diese Sicherheitslücken stellen ein kritisches Risiko dar, da sie Angreifern ermöglichen könnten, aus der Ferne willkürlichen Code auszuführen oder Denial-of-Service-Angriffe durchzuführen. Der CVSS-Score, vergeben von GitHub, bewertet das Risiko dieser Schwachstellen mit einem kritischen Wert von 9.8.
Benutzer des RIOT OS werden dringend aufgefordert, manuelle Grenzprüfungen in ihren Anwendungen zu implementieren, da derzeit keine Patches verfügbar sind. Diese Schwachstellen unterstreichen die Notwendigkeit, Sicherheitsüberprüfungen in Softwareentwicklungs- und Überprüfungsprozessen zu integrieren, insbesondere in Bereichen, die für die Infrastruktur kritisch sind wie das Internet der Dinge.