华为注意到近期Treck公司和JSOF安全研究人员公开了Treck IP协议栈系列漏洞，JSOF将其命名为Ripple20。经华为采购部门确认，华为公司未直接采购Treck公司相关产品，未发现该漏洞影响华为产品。
华为的安全漏洞扫描和检测产品已支持对该系列漏洞的检测。
1、漏洞概述
网络安全公司JSOF在Treck TCP/IP软件库发现了19个0day漏洞，并将这一系列漏洞命名为“Ripple20”，预计全球将有数亿台IoT设备受影响，属于典型的软件供应链威胁事件。
2、关键信息
Ripple20漏洞广泛影响关键物联网设备，涉及众多供应商，包括HP、Schneider Electric、Intel、Rockwell Automation、Caterpillar、Baxter以及其他在医疗、运输、工控方面的国际供应商、企业、能源、电信、零售行业。
这19个漏洞都属于数据包处理不当引发的内存损坏问题，漏洞位于TCP/IP软件库，该软件库被IPv4、IPv6、ICMPv4、IPv6OverIPv4、TCP、UDP、ARP、DHCP、DNS等协议以太网链路层使用。远程攻击者通过向目标设备发送特殊构造的数据包，造成目标服务内存损坏，导致代码执行、信息泄露等风险。
3、受影响的产品版本
受影响的软件 Treck stack version <= 6.0.1.66
受影响的厂商（由JSOF公司统计）
采购华为漏洞检测产品或升级华为漏洞检测产品特征库，扫描是否受漏洞影响。 确认产品使用的Treck TCP/IP软件库版本，<= 6.0.1.66则受影响。 5、解决方案 将Treck TCP/IP栈升级至6.0.1.67或更高版本 如果无法更新，请考虑暂时禁用易受攻击的功能 配置访问控制策略，只允许可信的IP地址段远程访问IoT设备 ******限度减少IoT设备的互联网暴露面
https://www.jsof-tech.com/ripple20/