CISA ออกเตือนช่องโหว่ ‘BadAlloac’ บน QNX RTOS หวั่นกระทบระบบ Infrastructure สำคัญ

CISA ได้ออกโรงเตือนช่องโหว่ CVE-2021-22156 หรือกลุ่มช่องโหว่ ‘BadAlloc’ ใน Real-Time Operating System จาก Blackberry ซึ่งคาดว่าอาจจะส่งผลกระทบในวงกว้างไปถึงระบบ Infrastructure ในงานสำคัญระดับประเทศ

Credit: Ignatov/ShutterStock

QNX RTOS มีการใช้งานในยานพาหนะกว่า 195 ล้านคัน รวมถึงระบบ Embedded ในอุตสาหกรรมของ อวกาศและการป้องกัน พาหนะขับเคลื่อนอัตโนมัติ เครื่องจักรหนัก ICS หุ่นยนต์ และอุปกรณ์ทางการแพทย์ ซึ่งจะเห็นได้ว่ามีผลกระทบในวงกว้าง

BadAlloac คือชุดของช่องโหว่ในอุปกรณ์ IoT และ OT ซึ่งถูกเปิดเผยโดยทีม Microsoft Section 52 เมื่อหลายเดือนก่อน โดยช่องโหว่เหล่านี้เกิดขึ้นจากฟังก์ชันของ memory เช่น malloc, calloc, realloc, memalign, valloc, pvalloc และอื่นๆ ที่นำไปสู่การลอบรันโค้ดจากทางไกลได้ ด้วย CVE ต่างๆถึง 25 รายการ

สำหรับ CVE-2021-22156 ก็เช่นกัน คนร้ายสามารถใช้เพื่อทำ DoS หรือเข้าควบคุมอุปกรณ์ได้ ซึ่งทาง Blackberry ได้เผยถึงผลกระทบกับ QNX Software Development Platform (SDP), QNX OS for Medical และ QNX OS for Safety โดยติดตามรายละเอียดการแก้ไขได้ที่ https://support.blackberry.com/kb/articleDetail?articleNumber=000082334

หากการแก้ไขนั้นยังไม่สามารถทำได้ทันทีผู้ดูแลควรจะจำกัดการเข้าถึงพอร์ตอย่างเหมาะสม หรือแยกจุดที่มีช่องโหว่ออกจากเครือข่ายสำคัญทางธุรกิจ

ที่มา : https://www.infosecurity-magazine.com/news/cisa-patch-critical-blackberry-qnx/ และ https://msrc-blog.microsoft.com/2021/04/29/badalloc-memory-allocation-vulnerabilities-could-affect-wide-range-of-iot-and-ot-devices-in-industrial-medical-and-enterprise-networks/ และ https://www.bleepingcomputer.com/news/security/cisa-badalloc-impacts-critical-infrastructure-using-blackberry-qnx/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

[Guest Post] Aruba เปิดตัววิวัฒนาการขั้นถัดไปของสถาปัตยกรรมระบบสวิตช์

Aruba CX 10000 Series Switch พร้อมกับ Pensando จะส่งมอบระบบเครือข่ายที่มีความสามารถสูง พร้อมสำหรับการเพิ่มขยาย เสริมบริการด้านความปลอดภัย สำหรับศูนย์ข้อมูลของธุรกิจในระดับองค์กร

[Video Webinar] อันตรายที่ซ่อนอยู่จากการเปลี่ยนแปลงของโลกดิจิทัล

สำหรับผู้ที่ไม่ได้เข้าฟังการบรรยาย BSS Webinar เรื่อง “อันตรายที่ซ่อนอยู่จากการเปลี่ยนแปลงของโลกดิจิทัล” พร้อมแนะนำเทคนิคและเครื่องมือเพื่อสร้าง Cyber Resilience ให้ธุรกิจ ที่เพิ่งจัดไปเมื่อสัปดาห์ที่ผ่านมา หรือต้องการรับชมการบรรยายซ้ำอีกครั้ง สามารถเข้าชมวิดีโอบันทึกย้อนหลังได้ที่บทความนี้ครับ