Le già problematiche piattaforme per i gadget IoT dovranno fare i conti, per molti anni a venire, con la minaccia nota come Ripple20. Cos’è Ripple20? Un pacchetto di 19 falle zero-day identificate in una libreria TCP/IP estremamente diffusa, una tecnologia adottata in centinaia di milioni di dispositivi che non potrà essere aggiornata in ogni singolo contesto vulnerabile.
All’origine delle vulnerabilità di Ripple20 c’è la tecnologia sviluppata da Treck, società specializzata nei protocolli embedded per le comunicazioni Internet in tempo reale. La libreria TCP/IP di Treck risulta implementata in un numero enorme di dispositivi negli ultimi 20 anni, e ora tutti questi dispositivi risultano vulnerabili a ogni sorta di compromissione o attacco da remoto.
Il problema è estremamente grave e riguarda i dispositivi con accesso di rete, un elenco che comprende gadget per la casa intelligente, per la gestione della rete elettrica, sistemi di healthcare, apparati industriali, sistemi di trasporto, stampanti, router, comunicazioni satellitari o mobile, data center, aerei commerciali e chi più ne ha, più ne metta.
Delle 19 vulnerabilità scoperte dai ricercatori e incluse in Ripple20, 4 falle risultano particolarmente gravi e sono state classificate con il massimo livello di pericolosità. Tramite le suddette vulnerabilità (CVE-2020-11896, CVE-2020-11897, CVE-2020-11898, CVE-2020-11899) è in teoria possibile eseguire codice malevolo da remoto, compromettere la sicurezza dei gadget vulnerabili, violare informazioni riservate su reti IPv4 e IPv6.
Inizialmente reticente, Treck è ora pienamente coinvolta con i ricercatori che hanno scoperto Ripple20 (l’israeliana JSOF, le autorità CERT di diversi paesi) nel tentativo di ridurre l’impatto, potenzialmente devastante, delle 19 vulnerabilità nello stack TCP/IP. Tutte le falle sono ora “coperte” da patch correttive ufficiali, ma il problema sarà distribuire il codice corretto laddove necessario.
La libreria di Treck è presente in un gran numero di progetti e dispositivi, e molti sviluppatori non sono nemmeno consapevoli di aver impiegato il codice fallato nei loro prodotti. Verosimilmente, degli effetti nefasti di Ripple20 si sentirà parlare anche nei prossimi anni in ambito IoT e non solo.