Forescout vindt 66 kwetsbaarheden in TCP/IP-stacks met AI

Forescout meldt op 12 november dat zijn AI-onderzoeksopstelling 66 nieuwe kwetsbaarheden in tien TCP/IP-stacks vond en 99 bevindingen in circa 90 uur bevestigde, na analyse van broncode en firmwarebinaries.

Patchplanning wordt voor OT-, IoT- en gebouwbeheerapparatuur ook een inventarisvraag: welke stack en versie draait in elk apparaat, en hoelang levert de leverancier updates? Als er geen fix komt, moet de beheerder kiezen hoe toegang wordt beperkt, het apparaat wordt geïsoleerd of vervangen. Zonder versie- en ondersteuningsinventaris is die afweging moeilijk per apparaat te maken.

AI versnelt de analyse van stacks

Vedere Labs, het onderzoeksteam van Forescout, testte tien TCP/IP-stacks. Een stack is de netwerksoftware waarmee apparaten met elkaar communiceren. Zeven kwamen uit Project Memoria of een verwante studie; drie waren nieuw. De zelfgebouwde onderzoeksopstelling combineerde statische codeanalyse met AI die controleerde of een gevonden fout bereikbaar en uitbuitbaar was. Onderzoekers begeleidden daarna de dynamische validatie met tests. Voor de eerste drie stappen gebruikte Forescout Claude Sonnet 4.6; voor dynamische verificatie Claude Opus-versies 4.6 tot en met 5.

Van 82 eerder bekende kwetsbaarheden herontdekte het harnas er 33 en vond het 66 nieuwe. Dat betekent niet dat 66 apparaatmodellen zijn bevestigd als kwetsbaar. Forescout beoordeelde 52 procent van de nieuwe bevindingen als hoog of kritiek; 54 meldingen gingen naar leveranciers of beheerders. Volgens het onderzoek raakt 29 procent kernonderdelen als IP, TCP, UDP, ICMP of Ethernet.

De statische analyse verwerkte 362 kandidaten voor ongeveer 935 dollar, gemiddeld 2,58 dollar per kandidaat. Forescout schat de totale modelkosten op 1.200 tot 2.300 dollar. Dat is geen prijs voor een volledig beveiligingsonderzoek: de bouw en afstelling van de onderzoeksopstelling, de emulatieomgeving en het ontwikkelen van analysemethoden zijn niet meegerekend.

Oude stacks blijven in producten zitten

Project Memoria begon in 2020 en kostte Forescout achttien maanden handmatig onderzoek. Het team vond toen bijna honderd CVE’s in veertien stacks die waren ingebouwd in producten van tientallen leveranciers. De gemiddelde leeftijd van de onderzochte stacks was bij aanvang bijna twintig jaar. Eerder onderzoek van Forescout identificeerde meer dan honderd geraakte producten.

De nieuwe analyse laat zien hoe een fout in gedeelde netwerksoftware door meerdere productlijnen kan lopen. Forescout noemt Siemens als eerste leverancier die getroffen apparaten identificeerde: controllers uit de APOGEE-, Desigo- en TALON-lijnen gebruiken Nucleus NET. Dat betekent niet dat elk apparaat in die productfamilies kwetsbaar is. Model, softwareversie en gebruikte netwerkdienst bepalen of een installatie geraakt wordt.

Siemens’ ProductCERT-advies van 13 oktober zegt dat voor diverse oudere APOGEE MBC/MEC- en Desigo PXC-modellen geen oplossing gepland is. Voor bepaalde PXC- en TALON TC-versies bestaan wel updates, met herstelversies vanaf 3.5.7 of 2.8.21. Siemens adviseert bij vier kwetsbaarheden FTP- en webdiensten uit te schakelen en merkt op dat die standaard uitstaan op de genoemde productlijnen. Voor CVE-2026-89208 noemt het netwerksegmentatie en plaatsing achter een goed ingestelde gateway of firewall.

Vijf fixes gelden voor propriëtaire stacks

Industrial Cyber schrijft dat vijf bevindingen inmiddels zijn verholpen. Forescouts tabel maakt de noemer duidelijk: 19 van de 20 gemelde open-sourcebevindingen en vijf van de 34 propriëtaire bevindingen zijn als verholpen gemarkeerd. De vijf propriëtaire fixes betroffen Nucleus NET; de drie andere propriëtaire stacks stonden als S1, S2 en S3 nog op onderzoek. Eén open-sourceproject had niet gereageerd.

Een stackfix moet nog door de firmwaremaker en productleverancier voordat de organisatie die kan installeren. Voor producten zonder geplande fix kan isolatie de resterende route zijn. Forescout adviseert ongebruikte diensten te beperken, niet-patchbare apparatuur in aparte netwerksegmenten te plaatsen en daar alleen noodzakelijk verkeer toe te laten. Bij inkoop noemt het bedrijf supporttermijnen, een meldbeleid voor kwetsbaarheden, een softwareonderdelenlijst en doorlopende veiligheidstests als eisen aan leveranciers.

De uitkomst heeft grenzen

In juli waarschuwde het NCSC dat AI de tijd tussen de ontdekking van een lek en actief misbruik kan verkorten. Het NCSC schrijft dat ook eenvoudigere commerciële en open modellen een rol kunnen spelen. De dienst noemt patchbeheer en zicht op het eigen IT-landschap als basis voor kortere reactietijden.

In augustus meldde Unit 42 van Palo Alto Networks dat NOVA in twee maanden 3.915 open-sourceprojecten analyseerde en 14.090 bevindingen bevestigde. De scopes verschillen: Forescout onderzocht tien TCP/IP-stacks en firmwarebinaries, dus de aantallen zijn niet rechtstreeks vergelijkbaar. De eerdere NOVA-analyse van 14.090 bevindingen in open-sourceprojecten laat wel zien dat geautomatiseerde ontdekking zich over meer dan één softwarelaag uitbreidt.

Forescouts meetmethode bepaalt ook wat het onderzoek kan aantonen. De onderzoeksopstelling bracht 312 unieke kandidaten terug tot 99 bevestigde kwetsbaarheden. Over de tien stacks was de gemiddelde precisie 42 procent, met een bereik van 11 tot 70 procent; binaries scoorden gemiddeld 34 procent tegenover 47 procent voor broncode. Het rapport zegt dat generieke regels geheugen- en parserfouten beter vangen dan implementatiespecifieke logica- en ontwerpfouten. Ongeveer tachtig van de negentig uur bestond uit validatie door onderzoekers. Het rapport presenteert geen bewijs van misbruik in echte omgevingen.

Het aantal bevindingen zegt op zichzelf niet welke installaties gevaar lopen. De relevante gegevens zitten per apparaat: stack, versie, ondersteuningstermijn en noodzakelijke netwerkverbindingen. Als een leverancier geen fix plant, bepalen die gegevens of het apparaat geïsoleerd kan blijven draaien of vervangen moet worden.