CVE-2023-50257

eProsima Fast DDS — podatność rozłączenia subskrybentów RTPS w SROS2

CVSS 9.6v3.1pub. 2024-02-19upd. 2026-01-02

W bibliotece eProsima Fast DDS (implementacja standardu DDS/RTPS) odkryto podatność umożliwiającą nieuwierzytelnionemu atakującemu przymusowe rozłączenie subskrybentów nawet przy włączonym zabezpieczeniu SROS2. Jej wykorzystanie może całkowicie uniemożliwić komunikację między węzłami systemu (np. robotycznego opartego na ROS 2), co stanowi poważne zagrożenie dla dostępności i integralności systemu.

▸ Pokaż oryginał (EN)

eProsima Fast DDS (formerly Fast RTPS) is a C++ implementation of the Data Distribution Service standard of the Object Management Group. Even with the application of SROS2, due to the issue where the data (`p[UD]`) and `guid` values used to disconnect between nodes are not encrypted, a vulnerability has been discovered where a malicious attacker can forcibly disconnect a Subscriber and can deny a Subscriber attempting to connect. Afterwards, if the attacker sends the packet for disconnecting, which is data (`p[UD]`), to the Global Data Space (`239.255.0.1:7400`) using the said Publisher ID, all the Subscribers (Listeners) connected to the Publisher (Talker) will not receive any data and their connection will be disconnected. Moreover, if this disconnection packet is sent continuously, the Subscribers (Listeners) trying to connect will not be able to do so. Since the initial commit of the `SecurityManager.cpp` code (`init`, `on_process_handshake`) on Nov 8, 2016, the Disconnect Vulnerability in RTPS Packets Used by SROS2 has been present prior to versions 2.13.0, 2.12.2, 2.11.3, 2.10.3, and 2.6.7.

🤖 Analiza AI

Jak działa

Podatność wynika z tego, że pakiety rozłączeniowe RTPS (dane `p[UD]`) oraz wartości `guid` używane do rozłączania węzłów nie są szyfrowane, nawet gdy aktywny jest SROS2. Atakujący może podszyć się pod istniejącego Publisher'a (Talker), używając jego ID, i wysłać sfałszowany pakiet rozłączeniowy na adres multicast Global Data Space (`239.255.0.1:7400`). W wyniku tego wszyscy Subskrybenci (Listeners) połączeni z danym Publisher'em zostają rozłączeni i przestają otrzymywać dane. Jeśli atakujący wysyła takie pakiety w sposób ciągły, nowe próby połączenia Subskrybentów są skutecznie blokowane (denial of service).

Skutki

Atakujący może trwale pozbawić Subskrybentów możliwości odbierania danych oraz uniemożliwić nawiązywanie nowych połączeń, doprowadzając do odmowy usługi (DoS) w całej sieci węzłów DDS. W środowiskach krytycznych (np. systemy robotyczne ROS 2) może to skutkować utratą kontroli nad urządzeniami fizycznymi.

Mitygacja

Należy zaktualizować eProsima Fast DDS do wersji 2.13.0, 2.12.2, 2.11.3, 2.10.3 lub 2.6.7 (w zależności od używanej gałęzi). Patche dostępne są w repozytorium projektu na GitHub (commity: 072cbc9d, e1869863, f07a0213, f2e5ceae). Należy również rozważyć segmentację sieciową ograniczającą dostęp do adresu multicast `239.255.0.1:7400` wyłącznie do zaufanych węzłów.

Kogo dotyczy

eProsima Fast DDS we wszystkich wersjach wcześniejszych niż 2.13.0, 2.12.2, 2.11.3, 2.10.3 oraz 2.6.7 — podatność obecna od 8 listopada 2016 r. (od pierwszego commitu pliku SecurityManager.cpp).

Uwagi

Podatność dostępna jest z sieci lokalnej (wektor AV:A) bez uwierzytelnienia i bez interakcji użytkownika. Dotyczy środowisk używających SROS2 — mechanizmu bezpieczeństwa dla ROS 2 opartego na Fast DDS — co czyni ją szczególnie istotną w systemach przemysłowych i robotycznych. Podatność obecna od commitu z 8 listopada 2016 r. w pliku SecurityManager.cpp.