Exploits Ripple20: 19 vulnerabilidades críticas amenazando dispositivos IoT/OT mundialmente

Investigadores de ciberseguridad de JSOF han publicado una lista completa de 19 vulnerabilidades críticas, conocidas colectivamente como Ripple20, que apuntan a la pila TCP/IP de Treck. Esta pila está embebida en millones de dispositivos en salud, transporte, manufactura, telecomunicaciones y sector energético, lo que significa que el impacto potencial abarca una vasta gama de infraestructuras críticas.

Ripple20 refleja los fallos Urgent/11 de 2019 que afectaron la pila TCP/IP de Interpeak. Al igual que Urgent/11, los nuevos problemas permiten ejecución remota de código y ataques de denegación de servicio (DoS). Proveedores mayores —incluyendo HP, Schneider Electric, Intel, Rockwell Automation, Caterpillar y Baxter— ya han confirmado exposición a estas debilidades.

Si bien el portafolio IoT industrial de Cisco, como Cyber Vision y el appliance ISA3000, no se ve afectado por Ripple20, Cisco reconoce que un subconjunto de sus productos puede ser vulnerable. El aviso de la compañía —disponible aquí— proporciona orientación detallada. Cyber Vision de Cisco, junto con firmas Snort generadas por Talos, puede detectar y ayudar a remediar amenazas Ripple20 en su red.

Treck, fundada en 1997, entrega pilas de protocolos optimizadas para sistemas embebidos en tiempo real. La pila se distribuye como código fuente, permitiendo a proveedores seleccionar y adaptar capas de protocolo para ajustarse a dispositivos IoT con memoria limitada. Esta flexibilidad, sin embargo, puede ocultar la presencia de componentes Treck en productos finales, complicando la identificación de vulnerabilidades, especialmente después de adquisiciones corporativas.

Históricamente, Treck colaboró con la firma japonesa Elmic System (ahora Zuken Elmic), produciendo pilas TCP/IP paralelas para mercados de EE. UU. y Asia. Varias vulnerabilidades Ripple20 también afectan la pila Zuken Elmic.

Actúe ahora: Aborde los fallos de mayor riesgo de Ripple20

Entre los 19 problemas, cuatro son calificados críticos (CVSS >9). Estos representan la mayor amenaza, permitiendo a atacantes ejecutar código arbitrario, lanzar ataques DoS o exfiltrar datos sensibles. El más severo, CVE‑2020‑11901, puede ser activado por una respuesta DNS manipulada a una solicitud del dispositivo, llevando a ejecución remota de código. Como el tráfico DNS típicamente sale de la red, los atacantes pueden interceptarlo con relativa facilidad, y los paquetes de exploit cumplen RFCs estándar, dificultando la detección por firewall.

Para una lista completa de vulnerabilidades y detalles técnicos, visite el sitio web de JSOF aquí.

Detecte Ripple20 en su entorno IoT/OT

JSOF estima que miles de millones de dispositivos pueden estar afectados, ya que muchos proveedores embeben porciones de la pila Treck. El CISA Industrial Control Systems Cyber Emergency Response Team (ICS‑CERT) ha publicado una lista evolutiva de proveedores impactados aquí. Mientras los avisos de proveedores continúan surgiendo, pasos proactivos pueden ayudar a identificar y mitigar riesgos.

Cisco Cyber Vision mapea automáticamente su red industrial, construye un inventario detallado de activos y destaca vulnerabilidades conocidas —incluyendo Ripple20. La base de conocimiento se actualiza regularmente y es gratuita para todos los clientes de Cyber Vision. Recomendamos descargar la última versión aquí si aún no lo ha hecho.

Dada la naturaleza de Ripple20 y los desafíos de parchear dispositivos heredados, también debería considerar medidas defensivas complementarias.

Acciones protectoras inmediatas

Despliegue sistemas de detección de intrusión (IDS) que aprovechen reglas Snort de Cisco Talos para marcar intentos de explotación. Cisco Cyber Vision puede integrar estas reglas, mientras que el appliance ISA3000 ofrece IDS más bloqueo en tiempo real en formato reforzado, on-site.

El ISA3000 destaca en segmentación de red, aislando dispositivos que no deberían comunicarse directamente, conteniendo así brechas potenciales.

JSOF recomienda mitigaciones adicionales que pueden aplicarse con el ISA3000, como bloquear fragmentación IP, túneles IP-en-IP, paquetes TCP malformados, mensajes ICMP no usados, y restringir DHCP u otros protocolos innecesarios.

Para más información sobre cómo salvaguardar su red industrial, explore el IoT Security Hub o contacte a Cisco para discutir soluciones a medida para su entorno IoT/OT.