<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6月中旬，幫助企業打造安全產品的以色列資安顧問公司JSOF，揭露了Ripple20漏洞，引發外界關注的是，這批漏洞導致大規模供應鏈曝險，影響非常廣泛，包括工業、電網、醫療、家用、網路與企業聯網裝置都受影響。</p>
<p>這是因為，Ripple20漏洞存在於Treck所開發的嵌入式TCP/IP函式庫，而該公司產品受到廣泛的客戶採用，包括Intel、HP、施耐德電機等多家業者。目前，Treck已經修補相關漏洞，並於官網上披露，而相關供應鏈的修補動向，更是企業用戶關注的焦點，</p>
<h2><strong>目前已確認15家業者受影響，修補動向成關注焦點</strong></h2>
<p>為了調查Ripple20漏洞的影響，最初，JSOF列出了8家確認為Treck的客戶名單，並有超過60家尚待確認，到了6月22日，我們看到JSOF公布的已確認Treck客戶名單，已經達到15家業者，包括：B.Braun、Baxter、Carestream、Caterpillar、Cisco（Starent Network）、Digi、Green Hills、HCL Tech、HP、HPE、Intel、Maxlinear（HLFN）、Rockwell、Schneider Electric/APC、Teradici，還有53家業者待確認。</p>
<p>值得企業關注的是，目前已有幾家廠商發布資安公告或新版韌體修補資訊，提醒企業用戶或設備業者應盡快修補。</p>
<p>例如，HP針對旗下數十款HP與Saumsung印表機產品發布更新，Intel也說明多款產品受影響，建議用戶升級至已修補的最新版。施耐德電機也建議應限制對其設備的存取，降低風險。</p>
<p>不只是這些產品用戶要注意，對於其他尚未確認受影響的50多家業者，後續是否公布受影響，並發布更新修補資訊，也要持續留意。</p>
<p> </p>
<h2 class="rtecenter"><strong><span style="color:#0099ff;">清查受到Ripple20漏洞影響的設備<br />
多家廠商陸續發出公告</span></strong></h2>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89Ripple20_JSOF.jpg" style="width: 600px;" /></p>
<blockquote><p>關於Ripple20漏洞的影響，根據6月22日JSOF發布已確認為Treck的客戶名單，目前共有15家業者，包括B.Braun、Baxter、Carestream、Caterpillar、Cisco（Starent Network）、Digi、Green Hills、HCL Tech、HP、HPE、Intel、Maxlinear（HLFN）、Rockwell、Schneider Electric/APC與Teradici。</p>
</blockquote>
<table border="1" cellpadding="1" cellspacing="1" style="width:580px;"><tbody><tr><td>
<p><strong>Vendors-v5-June18</strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/Vendors-v5-June18(1).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vendors-v5-June18(1).png" style="width: 180px;" /></a></p>
</td>
<td>
<p><strong>Vendors-v6-June18</strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/Vendors-v6-June18.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vendors-v6-June18.png" style="width: 180px;" /></a></p>
</td>
<td>
<p><strong>Vendors-v9-June22</strong></p>
<p><a href="https://s4.itho.me/sites/default/files/images/Vendors-v9-June22.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Vendors-v9-June22.png" style="width: 180px;" /></a></p>
</td>
</tr></tbody></table><blockquote><p>由於JSOF會持續確認有那些廠商確定是Treck的客戶，因此，我們可以從JSOF在Ripple20網頁上陸續更新的資訊，來確認受影響的業者。網頁上，JSOF已經將「影響或可能影響業者資訊」匯整成表格並發布成圖片公開在網站上，而我們可以憑藉圖片檔的命名，來找到之前更新的版本。特別的是，在近期的更新名單中，新增的業者是Teradici與Carestream，不過，先前已加入確認名單的Sandia National Labs，到了6月22日v9版名單中則被刪除。</p>
</blockquote>
<p>接下來，我們將根據這裡的公告，針對已確認採用Treck的業者，整理這些廠商因應Ripple20漏洞相關消息(至6月22日止)，整理如下：</p>
<h1><strong>IT設備（依廠牌英文字母排列）</strong></h1>
<p>
<strong><span style="color:#B22222;">廠牌：</span>Cicso</strong><br /><strong><span style="color:#B22222;">產品：</span></strong>Cisco GGSN Gateway GPRS Support Node、MME Mobility Management Entity、PGW Packet Data Network Gateway與System Architecture Evolution Gateway (SAEGW)<br /><strong><span style="color:#B22222;">資安公告與修補狀況：</span></strong>Cisco在6月17日發布資安公告，說明目前調查已有4款路由器與交換器產品受影響，包括Cisco GGSN Gateway GPRS Support Node、MME Mobility Management Entity、PGW Packet Data Network Gateway與System Architecture Evolution Gateway (SAEGW)，不過目前還沒釋出更新修補，另外他們也指出還有4款產品正在調查是否也受影響。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_1_Cisco.jpg" style="width: 600px;" /><br />
網址：<a href="https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-treck-ip-stack-JyBQ5GyC">https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-treck-ip-stack-JyBQ5GyC</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>HP</strong><br /><strong><span style="color:#B22222;">產品：</span></strong>雷射印表機系列產品HP Laser/LaserJet Pro/Neverstop Lase，以及Samsung proXpress/MultiXpress：噴墨印表機系列產品HP DeskJet/OfficeJet/OfficeJet Pro/Ink Tank/Smart Tank。<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>HP在6月16發布資安公告，說明該公司旗下多款印表機產品都受此漏洞影響，而該公司已經釋出修補韌體，用戶應儘速前往更新。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_2_HP.jpg" style="width: 600px;" /><br />
網址：<a href="https://support.hp.com/si-en/document/c06640149">https://support.hp.com/si-en/document/c06640149</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>HPE</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>N/A<br /><span style="color:#B22222;"><strong>資安公告或修補動向：</strong></span>N/A</p>
<p> </p>
<h1><strong>OT設備（依廠牌英文字母排列）</strong></h1>
<p><strong><span style="color:#B22222;">廠牌：</span>B. Braun</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>Outlook 400ES<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>該公司在6月16日發布資安公告，當中說明B. Braun Outlook 400ES安全輸液泵系統中使用了Treck的產品。<br />
他們並指出已從Treck收到24個修補程式，用以解決該軟體中的漏洞。而該公司對這些修補程式進行分析後，發現其中20個修補不適用Outlook 400ES產品，因為該產品不容易受到這些漏洞的影響，而他們會針對剩下4個修補程式進行分析，以確定每個漏洞的影響範圍與嚴重性。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_4_B_Braun(1).jpg" style="width: 600px;" /></p>
<p>相關資安公告網址：<a href="https://www.bbraunusa.com/content/dam/b-braun/us/website/customer_communications/Skyline%20Response_Outlook_6.9.2020_FINAL1.pdf">https://www.bbraunusa.com/content/dam/b-braun/us/website/customer_communications/Skyline%20Response_Outlook_6.9.2020_FINAL1.pdf</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>Baxter</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>無線電池模組35083 -b、35162 -b/g、35195 -a/b/g/n、35223 -a/b/g/n，以及36010–a/b/g/n。<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>Baxter在6月16日發布產品資安公告，當中說明該公司旗下Spectrum Infusion System的無線電池模組，使用了Digi Net + OS操作系統，因此受到Treck這些漏洞的影響。根據Baxter的清查，目前受影響的無線電池模組，包括35083 -b、35162 -b/g、35195 -a/b/g/n、35223 -a/b/g/n，以及36010–a/b/g/n。目前，Baxter已從軟體供應商（Digi）獲得修補程式，正在驗證與確認階段，他們請用戶關注後續訊息發布，同時也提供緩解措施。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_5_Baxter(1).jpg" style="width: 600px;" /></p>
<p>相關資安公告網址：<a href="https://www.baxter.com/sites/g/files/ebysai746/files/2020-06/BulletinSpectrumDigiTreck%20%28003%29.pdf">https://www.baxter.com/sites/g/files/ebysai746/files/2020-06/BulletinSpectrumDigiTreck%20%28003%29.pdf</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>Carestream</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>CR975、Directview Max CR System、Directview Classic CR System、Directview Elite CR System、HPX Pro、HPX-One<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>醫療CareStream在6月18日發布資安公告，他們說明，若要利用Ripple20漏洞，攻擊者需要從醫院網路存取嵌入式操作系統的設備，但以該公司的實作上，設備是直接連至Windows電腦，如果用戶都遵循此作法，風險很低。同時，他們也列出了可能受此漏洞影響的產品，包括CR975、Directview Max CR System、Directview Classic CR System、Directview Elite CR System、HPX Pro、HPX-One，另外還有29款產品正在清查中。他們並預告將在6月26日更新狀況。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_6_Carestream.jpg" style="width: 600px;" /></p>
<p>相關資安公告網址：<a href="https://www.carestream.com/nl/nl/services-and-support/cybersecurity-and-privacy">https://www.carestream.com/nl/nl/services-and-support/cybersecurity-and-privacy</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>Caterpillar</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>N/A<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>Caterpillar在6月16日僅發出簡短的資安公告，表示正在確認這批漏洞對於產品的衝擊，但並未說明清查與修補狀態，還不知道有那些產品受影響。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_7_Caterpillar.jpg" style="width: 600px;" /><br />
相關資安公告網址：<a href="https://www.cat.com/en_US/support/technology/connected-solutions-principles/security/caterpillar-cybersecurity-advisory.html">https://www.cat.com/en_US/support/technology/connected-solutions-principles/security/caterpillar-cybersecurity-advisory.html</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>Rockwell Automation</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>N/A<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>N/A</p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>Schneider Electric</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>N/A<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>施耐德電機在6月16日發出資安公告，尚未說明那些產品受影響，但表示可透過限制對其設備的存取來減輕遭受攻擊的風險。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_9_Schneider%20electric.jpg" style="width: 600px;" /><br />
相關資安公告網址：<a href="https://download.schneider-electric.com/files?p_enDocType=Technical+leaflet&p_File_Name=SESB-2020-168-01_Treck_Vulnerabilities_Security_Bulletin.pdf&p_Doc_Ref=SESB-2020-168-01">https://download.schneider-electric.com/files?p_enDocType=Technical+leaf...</a></p>
<p> </p>
<h1><strong>軟體與其他設備（依廠牌英文字母排列）</strong></h1>
<p><strong><span style="color:#B22222;">廠牌：</span>Digi</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>Connect SP/ME/ES/EM/WME/9C/9P、ConnectPort X4 (all variants)、ConnectPort X2 (NOT X2e)、ConnectPort TS (Not LTS)、 AnywhereUSB (excluding Plus)、NetSilicon 7520/9210/9215/9360/9750，以及任何使用NET+OS 7.X 的embedded產品<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>Digi在6月16日發布資安公告，向用戶說明Ripple20漏洞對該公司產品的影響與如何修補，從公告內容來看，在該公司評估後受影響的產品相當多，而該公司也在4月20日就已發布新版修補，讓使用它們元件的產品業者修補。<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_10_Digi.jpg" style="width: 600px;" /><br />
相關資安公告網址：<a href="https://www.digi.com/support/knowledge-base/digi-international-security-notice-treck-tcp-ip-st">https://www.digi.com/support/knowledge-base/digi-international-security-...</a></p>
<p>
<span style="color:#B22222;"><strong>廠牌：</strong></span><strong>Green Hills</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>N/A<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>對於Treck函式庫的漏洞，Green Hills Software在網頁上公告GHnet v2 Product Security Advisory的訊息，他們強調，儘管該公司GHnet v2產品是基於Treck，但兩者並不完全相同，它們之前即有改進並增加新功能，因此這些漏洞對GHnet v2的影響並不大。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_11_Green%20Hills.jpg" style="width: 600px;" /></p>
<p>相關資安公告網址：<a href="https://support.ghs.com/psirt/PSA-2020-05/">https://support.ghs.com/psirt/PSA-2020-05/</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>HCL Technologies</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>N/A<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>N/A</p>
<p> </p>
<p><span style="color:#B22222;"><strong>廠牌：</strong></span><span style="color:#000000;"><strong>Intel</strong></span><br /><span style="color:#B22222;"><strong>產品：</strong></span>Intel Converged Security and Manageability Engine(CSME) 、Server Platform Services(SPS)、Trusted Execution Engine(TXE), Active Management Technology(AMT)、Standard Manageability(ISM)與Dynamic Application Loader (DAL)<br /><span style="color:#B22222;"><strong>資安公告或修補動向：</strong></span>Intel在6月9日發布安全公告，指出韌體將會遭受提權、DoS與資訊洩漏的風險，影響旗下多項Intel CSME、 Intel AMT、Intel ISM、Intel DAL與Intel DAL軟體，他們在漏洞揭露前已針對受影響產品，發布新版修補來減輕這些潛在弱點的影響。</p>
<p><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_13_Intel.jpg" style="width: 600px;" /></p>
<p>相關資安公告網址：<a href="https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00295.html">https://www.intel.com/content/www/us/en/security-center/advisory/intel-s...</a></p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>Maxlinear</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>N/A<br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong><span style="color:#B22222;"><strong>：</strong></span>N/A</p>
<p> </p>
<p><strong><span style="color:#B22222;">廠牌：</span>Teradici</strong><br /><span style="color:#B22222;"><strong>產品：</strong></span>Tera2 Zero Client firmware、Tera2 Remote Workstation Card <br /><strong><span style="color: rgb(178, 34, 34);">資安公告與修補狀況：</span></strong>軟體公司Teradici在6月17日發布資安公告，說明旗下共有兩款產品受到Ripple20漏洞的影響，而他們已經發布新版修補，<br /><img alt="" src="https://s4.itho.me/sites/default/files/images/Ripple20_15_Teradici.jpg" style="width: 600px;" /><br />
相關資安公告網址：<a href="https://advisory.teradici.com/security-advisories/56/">https://advisory.teradici.com/security-advisories/56/</a></p>
</div></div></div>
