VxWorks är ett realtidsoperativsystem för inbyggda system från det amerikanska företaget Wind River. De 11 sårbarheterna som har hittats finns i TCP/IP (IPnet) nätverksstack i VxWorks RTOS, vilket är den del som hanterar enhetens förmåga att ansluta till internet eller till andra enheter i ett lokalt nätverk.

Enligt Sveriges computer emergency response team, CERT-SE, som drivs av MSB, används VxWorks i över två miljarder enheter däribland industriella styr- och kontrollsystem och medicinsk utrustning. Även routrar, skrivare, brandväggar påverkas.

Alla versioner sedan 6.5 påverkas av sårbarheterna som finns i VxWorks TCP/IP-stack. Den senaste versionen, VxWorks 7 som släpptes den 19 juli innehåller korrigeringar för alla upptäckta sårbarheter. Sårbarheterna gäller inte för versionerna VxWorks 653 och VxWorks Cert Edition, som är utvecklade för säkerhetscertifiering vilka används inom vissa samhällsviktiga sektorer, exemelvis transportsektorn.

Sex av sårbarheterna klassas som kritiska och dessa gör det möjligt för en angripare att utföra fjärrexekvering av godtycklig kod utan autentisering på målsystemet. Resterande sårbarheter klassificeras som informationsläckage, logiska brister eller funktionsförlust och att systemen inte är tillgängligt för användarna.

Enligt Armis forskningsteam möjliggör dessa sårbarheter att angripare kan ta över enheter utan att användarinteraktion krävs. Till och med kan säkerhetsenheter till brandväggar och NAT-lösningar kringgås. Därmed kan dessa sårbarheter användas till att sprida kod i och inom nätverk, vilket är jämförbart med sårbarheten som möjliggjorde spridning av WannaCry.

"Utför säkerhetshöjande åtgärder"
CERT-SE rekommenderar att "om möjligt snarast uppdatera sårbara produkter samt utföra säkerhetshöjande åtgärder".De rekommenderar följande åtgärder:

• Wind River har släppt ny version av realtidsopertivsystemet (VxWorks 7 SR620) som innehåller patchar för dessa sårbarheter. Om möjligt, uppgradera snarast till senaste versionen av VxWorks.
• Segmentera nätverket och se till att konfigurera branväggarna att endast tillåta legitim trafik mellan segmanten
• Minimera exponering för alla SCADA/ICS-system och se till att de inte är åtkomliga från internet
• Inventera SCADA/ICS-system i nätverket och isolera dessa i separata nätverkssegment från klient- och servernät
• Om fjärradministration är nödvändigt, använd säkra metoder, som exempelvis Virtuella Privata Nätverk (VPN)