Милиарди вградени устройства работят под управление на уязвима операционна система (снимка: CCO Public Domain)
Операционната система в реално време VxWorks съдържа 11 сериозни уязвимости, на които никой не е обърнал внимание от 2006 г. насам, алармираха изследователи от Armis. Проблемът, наречен „URGENT/11”, позволява дистанционно пускане на произволен код на устройства под управление на VxWorks – а те са милиарди – и изисква спешно затваряне на „дупките”.
VxWorks е система, подобна на Unix и разработена от компанията Wind River Systems за използване във вградени платформи, където работата в реално време е от решаващо значение. Системата се използва в различни индустрии – от потребителска електроника до промишлени и медицински контролери и космическа апаратура.
По-специално, VxWorks се използва в космическия кораб SpaceX Dragon и новите марсоходи на НАСА. Редица медицински системи, включително монитори за състоянието на пациента, устройства за лъчева терапия и ЯМР (ядрено-магнитен резонанс) скенери, също използват тази система.
Общо, според разработчиците, VxWorks управлява повече от 2 милиарда вградени устройства по целия свят, включително такива извън Земята. Изходният код на VxWorks е затворен, защото това е комерсиална разработка. Изследователите от Armis са успели да изтеглят кода на остаряла версия и след това с помощта на обратен инженеринг да „обновят” системата и да я разгледат за уязвимости.
Някои от софтуерните грешки, открити във VxWorks, позволяват на хакери да поемат контрола върху вградени устройства без никакво пряко взаимодействие с потребителя. По-лошото е, че защитните стени и NAT системите (които преобразуват мрежови адреси) ще пропуснат атаката през някои от уязвимостите, защото за тях пакетите, изпратени по време на атаката, изглеждат като напълно невинен мрежов трафик.
Wind River вече публикува инструкции и кръпки за предотвратяване на атаки през идентифицираните уязвимости. Разработчиците твърдят, че само малка част от потребителите на VxWorks са изложени на риск от хакерски атаки. В последната версия на системата липсва уязвимостта URGENT/11.