综述
12月8日，Forescout研究实验室披露了四个开源TCP/IP软件库中共33个漏洞。这一系列漏洞被统称为 AMNESIA:33，受影响软件库分别是uIP（发现13个漏洞）、picoTCP（10个）、 FNET（5个）、和Nut/Net（5个）。
这些漏洞预计影响150多家供应商和数百万设备，涉及嵌入式设备的操作系统、芯片系统、网络设备、OT设备以及大量企业级和消费级物联网设备。
利用漏洞攻击者能够破坏设备、执行恶意代码、造成拒绝服务，此外还能窃取敏感信息。
其中4个严重级别的远程代码执行漏洞分别是：
- CVE-2020-25111
DNS域名解码/DNS响应处理组件中的问题。
- CVE-2020-24338
解析域名的函数缺乏边界检查，允许攻击者用伪造的DNS数据包破坏内存。
- CVE-2020-24336
通过NAT64发送的DNS响应数据包中解析DNS记录的代码没有验证响应记录的长度字段，允许攻击者破坏内存。
- CVE-2020-25112
对IPv4/IPv6头长度检查不足，对IPv6头扩展长度检查不一致，使攻击者可以破坏内存。
更完整漏洞列表详见：
参考链接：
https://searchsecurity.techtarget.com/news/252493283/Forescout-reports-33-new-TCP-IP-vulnerabilities
https://www.forescout.com/research-labs/amnesia33/
受影响产品
- uIP
- picoTCP
- FNET
- Nut/Net
解决方案
Forescout已和受影响的供应商进行了沟通，GitHub的安全团队也在协助识别受影响的TCP/IP 仓库。不过据Forescout显示，只有Contiki-NG、PicoTCP-NG、FNET和Nut/Net项目针对漏洞发布了补丁，uIP、Contiki和PicoTCP项目尚未发布补丁。
除了在可能的情况下及时安装补丁更新外，建议采取如下缓解措施：
- 评估风险
在采取防护措施之前，进行彻底的风险评估。识别潜在易受攻击设备、业务环境及其重要性，以及它们的通信路径和互联网暴露情况。
- 依靠内部DNS服务器
尽可能依赖内部DNS服务器，并且密切监视外部DNS流量，因为AMNESIA:33中的几个漏洞与DNS客户端有关，它们被利用时需要恶意的DNS服务器回复恶意数据包。
- 禁用或阻止不必要的IPv6通信
由于AMNESIA:33中的多个漏洞与IPv6组件有关，因此请禁用或阻止不必要的IPv6网络流量。
- 网络分段
对于无法修补的IoT和OT设备，在不影响关键业务功能或业务运营的前提下，请使用分段以最大程度地减少其网络暴露。
- 监视格式错误的数据包
密切关注所有网络流量中格式错误的数据包（例如，不合格的数据包字段长度或校验和失败）。当检测到异常流量时，采取响应措施，并进行更严格的管控。
参考链接: