Tietoturvayhtiö Embedi raportoi eilen haavoittuvuudesta wifi-piirisarjassa. Marvellin piirisarjojen RTOS-käyttöjärjestelmän toimittaja Express Logic korostaa, että haavoittuvuus liittyy piirisarjan firmware-ohjelmistoon, ei itse ThreadX-reaaliaikakäyttöjärjestelmään.
Express Logicin toimitusjohtaja William E. Lamie toteaa, että yhtiö ottaa tietoturvan ja turvallisuuden erittäin vakavasti. – Niin vakavasti, että olemme ainoana alalla saaneet SIL 4-, ASID D- ja EAL4+-esisertifioinnit ajonaikaisille eli runtime-ratkaisuillemme, Lamie korostaa.
Lamien mukaan Express Logicilla huolestuttiin tietysti, kun ThreadX:ää käyttävästä Marvellin Avastar 88W8897 -piirisarjasta löytyi haavoittuvuus. Tutustuttuaan raporttiin ja keskusteltuaan analyysin tehneen tietoturvatutkijan kanssa kävi ilmi, että raportti on ymmärretty väärin. Haavoittuvuuksien ei kerrottu johtuvan itse ThreadX:stä. Tästä voi osin syyttää raporttia, jossa asia on ilmaistu epäselvästi. Sovellusohjelmisto kutsutaan esimerkiksi ThreadX-pohjaiseksi firmwareksi.
Tärkein viesti Express Logicilta on, ettei Marvellin wifi-piirisarjojen haavoittuvuus johtunut järjestelmävirheestä ThreadX-ohjelmistossa. Raportissa ilmaistut muistin korruptio-ongelmat johtuvat yksinomaan sovellusohjelmistosta ja ajureista, jotka eivät ole Express Logicin vastuulla. Sama ongelma esiintyisi kaikilla RTOS-käyttöjärjestelmillä ja itse asiassa kaikissa käyttöjärjestelmissä, Express Logic kertoo.
Sinänsä Lamie kiittää Embedin löydöstä, sillä se nostattaa tärkeän keskustelun datapakettien käsittelyn tietoturvasta IoT-laitteissa. Datapaketit ovat yksi haavoittuvimpia kohteita esimerkiksi palvelunestohyökäyksien rakentamisessa.
Marvell-piirisarjojen tapaus toimii myös hyvänä ohjelmoinnin oppituntina. Sovelluskoodin pitäisi aina varmistaa, että käytössä on riittävän iso muisti niin, ettei mitään puskurin ylivuotoa pääse tapahtumaan.
