Tecnología

BadAlloc impacta la infraestructura crítica con BlackBerry QNX

CISA: BadAlloc afecta la infraestructura crítica con BlackBerry QNX

CISA advirtió hoy que las fallas de seguridad de IoT y OT conocidas como BadAlloc afectan el sistema operativo en tiempo real (RTOS) QNX de BlackBerry utilizado por organizaciones de infraestructura crítica

Bad Alloc es una colección de 25 vulnerabilidades causadas por la asignación de memoria Desbordamiento de enteros o envolvente insectos.

Fueron encontrados por investigadores de Microsoft en funciones de asignación de memoria estándar ampliamente utilizadas en múltiples sistemas operativos en tiempo real (RTOS), implementaciones de bibliotecas estándar C (libc) y kits de desarrollo de software integrados (SDK).

Los dispositivos de IoT y OT vulnerables directamente afectados por las fallas de Bad Alloc se pueden encontrar en una gran variedad de redes de consumo, médicas e industriales.

BlackBerry QNX impulsa los sistemas de infraestructura crítica

BlackBerry QNX La tecnología es utilizada en todo el mundo por más de 195 millones de vehículos y sistemas integrados en una amplia gama de industrias, incluidas la aeroespacial y la defensa, maquinaria pesada, ferrocarriles, robótica, controles industriales, automotriz, vehículos comerciales y médicos.

Los atacantes remotos podrían explotar dispositivos que ejecutan versiones anteriores de productos BlackBerry QNX sin parchear contra BadAlloc para activar condiciones de denegación de servicio o ejecutar código arbitrario en sistemas vulnerables basados ​​en QNX.

“BlackBerry QNX RTOS se utiliza en una amplia gama de productos cuyo compromiso podría resultar en que un actor malintencionado obtenga el control de sistemas altamente sensibles, aumentando el riesgo para las funciones críticas de la nación”, CISA prevenido.

“CISA recomienda encarecidamente a las organizaciones de infraestructura crítica y a otras organizaciones que desarrollan, mantienen, respaldan o utilizan sistemas basados ​​en QNX afectados, para parchear los productos afectados lo más rápido posible”.

Entonces, la Administración de Drogas y Alimentos de EE. UU. (FDA) emitió una advertencia por separado alertando hoy a los pacientes, proveedores de atención médica y fabricantes sobre el mayor riesgo que presentan estas vulnerabilidades para los dispositivos médicos que incorporan el software BlackBerry QNX vulnerable.

Por el momento, CISA, la FDA y BlackBerry no tienen conocimiento de ninguna explotación de esta vulnerabilidad en la naturaleza.

Recomendaciones de mitigación

Las advertencias vienen después de BlackBerry revelado hoy temprano que BadAlloc (registrado como CVE-2021-22156) también afecta la Plataforma de desarrollo de software (SDP) de QNX, QNX OS for Medical y QNX OS for Safety.

La compañía también aconseja a todos los clientes de QNX SDP, QNX OS for Safety y QNX OS for Medical afectados que actualicen sus productos QNX lo antes posible utilizando los siguientes enlaces (el acceso a las descargas requiere una cuenta myQNX):

Si la actualización a una versión fija no es posible de inmediato, BlackBerry recomienda asegurarse de que solo los puertos y protocolos utilizados por las aplicaciones RTOS sean accesibles, bloqueando todos los demás, para mitigar las vulnerabilidades.

  • Siempre que sea posible, asegúrese de que sus sistemas solo se conecten a redes aisladas de confianza.
  • evite exponer interfaces innecesarias (por ejemplo, telnet, ftp, qconn, etc.)
  • localizar redes del sistema y dispositivos remotos detrás de cortafuegos y aislarlos de la red empresarial

CISA también instó a las organizaciones de infraestructura fuertemente críticas a que desarrollen, mantengan, respalden o utilicen los sistemas basados ​​en QNX afectados para que los parcheen lo antes posible.

La agencia federal brinda asesoramiento de mitigación para las entidades potencialmente afectadas:

  • Fabricantes de los productos que incorporan versiones vulnerables deben comunicarse con BlackBerry para obtener el parche.
  • Fabricantes de productos que desarrollan versiones únicas de software RTOS debe ponerse en contacto con BlackBerry para obtener el código de parche. Calificación: En algunos casos, los fabricantes pueden necesitar desarrollar y probar sus propios parches de software.
  • Usuarios finales de los sistemas críticos para la seguridad deben comunicarse con el fabricante de su producto para obtener un parche. Si hay un parche disponible, los usuarios deben aplicarlo lo antes posible. Si un parche no está disponible, los usuarios deben aplicar las medidas de mitigación recomendadas por el fabricante hasta que se pueda aplicar el parche.

Leave a Comment

You may also like

Más