緊急：11項安全漏洞突現，尤顯VxWorks安全

與安全研究社區合作

風(fēng)河認為，安全性根植于我們的DNA深處。這是我們近40年來(lái)在關(guān)鍵任務(wù)系統中無(wú)盡遺產(chǎn)的組成部分，融匯于我們提供的所有技術(shù)之中，幫助我們的客戶(hù)開(kāi)發(fā)出可靠且值得信賴(lài)的解決方案。我們極致重視安全性，正因為如此，最近在TCP/IP（IPnet)）網(wǎng)絡(luò )堆棧中發(fā)現并被強調為“緊急（Urgent）”的11項漏洞，反而更進(jìn)一步凸顯了迄今為止最安全的實(shí)時(shí)操作系統——VxWorks。

這些漏洞是被網(wǎng)絡(luò )安全公司Armis發(fā)現的。通過(guò)互動(dòng)順暢的“負責任披露（Responsible Disclosure）”模式，風(fēng)河公司專(zhuān)設的安全事件響應團隊與Armis密切合作，確?？蛻?hù)能夠獲得通知和所需的補救/補丁。這一共享與協(xié)作的流程旨在幫助設備制造商降低其用戶(hù)的任何潛在風(fēng)險。我們感謝Armis在發(fā)現這些漏洞的過(guò)程中為大家所做的一切。

作為世界上應用最廣泛、最值得信賴(lài)的實(shí)時(shí)操作系統（RTOS）的供應商，以及領(lǐng)先技術(shù)企業(yè)的一員，我們有責任建立一個(gè)縝密的安全響應流程。我們的客戶(hù)在許多方面都信賴(lài)我們，這便是其中原因之一。

IPnet網(wǎng)絡(luò )棧是VxWorks某些版本的組件之一，包括生命周期已經(jīng)結束（EOL）的6.5版本。具體來(lái)說(shuō)，有些互聯(lián)設備采用的是較老標準版本的VxWorks，其中包含的IPnet堆棧受到了一個(gè)或多個(gè)已發(fā)現漏洞的影響。最新版本的VxWorks不會(huì )受這些漏洞的影響。

風(fēng)河公司的安全關(guān)鍵產(chǎn)品（如VxWorks 653和VxWorks CERT版本）原本的設計目標就具備通過(guò)認證的水平，因此也不會(huì )受到任何影響。非常重要的一點(diǎn)是，應該注意到，并不是所有發(fā)現的漏洞都存在于每一個(gè)產(chǎn)品之中。有關(guān)受影響/未受影響版本的完整詳細信息，請參見(jiàn)安全咨詢(xún)信息。

這些受影響的設備在我們客戶(hù)群中只占一小部分，主要存在于企業(yè)設備之中，被部署在網(wǎng)絡(luò )周邊面對互聯(lián)網(wǎng)的部位，如調制解調器、路由器和打印機，以及一些工業(yè)和醫療設備。

在這11個(gè)漏洞中，有6個(gè)是Remote Code Execution（RCE，遠程代碼執行）漏洞；在這6個(gè)漏洞中，有4個(gè)可以通過(guò)一個(gè)簡(jiǎn)單的防火墻規則予以緩解。到目前為止，沒(méi)有跡象表明這11個(gè)漏洞已造成后果。

這些漏洞并不是風(fēng)河軟件獨有的。2006年，風(fēng)河通過(guò)收購Interpeak獲得了IPnet Stack。在此項收購之前，這個(gè)堆棧已經(jīng)被廣泛授權給許多其他RTOS供應商并由其部署在應用中。

深度防御的重要性

在代碼中找到漏洞是非常困難的，而且有些人會(huì )以您沒(méi)有預料到的方式對這些代碼發(fā)起攻擊。實(shí)際上，安全漏洞在未被發(fā)現的情況下運行很多年，這并非十分罕見(jiàn)的情況。這樣的實(shí)例有很多：Spectre/Meltdown 就曾經(jīng)存在于數十家制造商生產(chǎn)的數百萬(wàn)個(gè)處理器中，使用了十多年之后才被發(fā)現；OpenSSL漏洞，例如HeartBleed也暗藏了很多年。事實(shí)上，現代軟件系統非常復雜，功能非常豐富，多年來(lái)編寫(xiě)的大量代碼，不斷提高對安全編程的認識，并不斷提高審查水平。

以下VxWorks內置的安全特性可用于建構一個(gè)強大的系統，并且可以對已經(jīng)發(fā)現的IPnet漏洞做出防護：

要定義一套完整的安全策略，就必須對客戶(hù)的系統進(jìn)行全面審核。

《國土安全》有文章*指出，“任何組織機構都不能依靠單一對策來(lái)解決全部安全問(wèn)題?！泵绹鴩野踩窒聦俚男畔⒈Ｗo署(Information Assurance Directorate）也有文章*指出，“不幸的是，將一個(gè)SKPP認證的內核作為系統組成部分，并不能立即使系統在整體上具備高度的穩健性?！焙?jiǎn)單來(lái)說(shuō)，僅僅依賴(lài)單個(gè)組件，這是一種失敗的安全策略。

利用風(fēng)河軟件構建安全系統

雖然沒(méi)有任何軟件能夠抵御零時(shí)差攻擊（Zero-Day Vulnerabilities），但客戶(hù)可以應用風(fēng)河公司的軟件來(lái)構建他們的可信賴(lài)系統。我們的產(chǎn)品發(fā)布流程極為嚴格，包括回歸/網(wǎng)絡(luò )測試、靜態(tài)分析和惡意軟件掃描。我們的CVE監控/評估，再加上安全服務(wù)產(chǎn)品，可以確保最初部署的就是最堅固的系統，而且在該系統的整個(gè)生命周期內提供維護。我們還得到了由Armis等公司組成的強大安全生態(tài)系統的支持。

“風(fēng)河專(zhuān)業(yè)服務(wù)”提供以下安全相關(guān)服務(wù)：

·安全評估 - 全面深入地審視客戶(hù)的嵌入式系統、操作環(huán)境，并確定足以保障系統安全的最佳方法

·嵌入式安全培訓 -為客戶(hù)的員工提供有關(guān)如何構建安全嵌入式系統的基礎培訓

·FIPS 140-2和通用標準評估 - 使客戶(hù)的產(chǎn)品能夠進(jìn)一步符合政府機構的規范

·安全特性配置檢查

·長(cháng)期安全服務(wù) - 將安全補丁應用于所支持的產(chǎn)品，直到其生命周期結束，并延伸至這些產(chǎn)品的遺留版本

·信息保障基礎 - 進(jìn)一步支持基于硬件的安全功能（例如SEC引擎、TPM等）以便為客戶(hù)創(chuàng )建定制的解決方案

我們的解決方案與服務(wù)可滿(mǎn)足安全硬件和軟件的全部需求，足以保障設備之間以及跨系統的通信，為它們提供長(cháng)期的防護，以及快速的反應，使它們免于收到隨時(shí)出現的新威脅。而且，我們的開(kāi)發(fā)流程和安全功能可以滿(mǎn)足許多行業(yè)的嚴格要求。

關(guān)于IPnet漏洞的更多詳細信息，包括安全咨詢(xún)和補丁信息，請參見(jiàn) Wind River Security Alert ，呈現于 Wind River Security Center. 您也可通過(guò) Wind River Support 提出您的任何問(wèn)題。

一如既往，風(fēng)河隨時(shí)準備幫助我們的客戶(hù)，確保其設備和系統的安全。

*推薦的實(shí)例：以深度防御戰略改善工業(yè)控制系統網(wǎng)絡(luò )安全，2016年9月

*商業(yè)化工作站上的分離內核，2010年3月