Článek
Když se objeví chyba v operačních systémech typu Microsoft Windows, Android nebo iOS a nějaký hacker toho zneužije, škody můžou zasáhnout miliony zařízení. Specialisté z kyberbezpečnostní firmy Aramis ale objevili a popsali několik zranitelných míst v operačním systému, který není až tak známý, přitom ale běží na dvou miliardách přístrojů po celém světě. Jmenuje se VxWorks a pohání zdravotnické přístroje, ovládání výtahů, satelitové modemy, spoustu komponentů internetu věcí a kontrolních systémů ve výrobě.
VxWorks je de facto zabezpečený operační systém, jenž v reálném čase chrání stroje, které jsou nepřetržitě v provozu. Aramis objevil v systému skupinu 11 slabých míst. Skrz šest z nich by mohl útočník získat vzdálený přístup k zařízení. Hacker by byl také schopný pomocí těchto slabin šířit vir na další zařízení se systémem VxWorks.
Miliony zařízení v ohrožení
Zranitelných je podle odhadů na 200 milionů zařízení. „Zasaženo je malé množství našich zákazníků. Primárně se to týká podnikových zařízení, která jsou připojena k internetu, jako jsou modemy, routery, tiskárny, stejně jako některé industriální a zdravotnická zařízení,“ uvedla pro Wired společnost Wind River, vývojář VxWorks.
Chyba je přítomná na různých verzích systému od roku 2006. Jak společnost Aramis, tak Wind River serveru Wired zdůraznily, že chyba není v nejaktuálnější verzi operačního systému. To podle serveru znamená, že není ohrožená kritická infrastruktura jako například jaderné elektrárny.
Společnost VxWorks tvrdí, že už nyní pracuje na distribuci patchů, malých aktualizací, které by měly chybu „zalepit“. Podle výzkumníků z Aramis, kteří chybu odhalili, odhadují, že kompletní náprava bude velmi obtížným během na dlouhou trať. „VxWorks je používán pasivně, takže bude trvat velmi dlouho, než se nainstalují potřebné patche,“ říká Michael Parker, šéf marketingu ve společnosti Aramis.
„Jsou tu věci jako firewally nebo robotické ruce. Nebo si představte monitory pacientů a lékařské vybavení. Oni musí de facto vytvořit nový operační systém, který musí schválit Úřad pro kontrolu potravin a léčiv. Nemůžete zkrátka ukončit produkt a zavést tyto aktualizace,“ říká Parker.
Právě rozsah zasažených zařízení je to, co znepokojuje Bena Seriho, viceprezidenta v oblasti vývoje v Aramis. „Nejhorším scénářem pro mě je, jak by takovou slabinu dokázal využít nějaký velmi odhodlaný stát,“ říká Seri. „Neříkám, že se něco stane zítra ráno, ale ta nejhorší možná varianta mě velmi zneklidňuje.“
