FragAttacks — серия от уязвимости в стандартите и реализациите на Wi-Fi

Мати Ванхоеф (Mathy Vanhoef), автор на атаката KRACK над безжичните мрежи, разкри информация за 12 уязвимости, засягащи различни безжични устройства. Откритите проблеми са представени под кодовото име FragAttacks и обхващат практически всички използвани безжични платки и точки за достъп — от тестваните 75 устройства, всяко е подложено на поне един от предложените методи на атака.

Проблемите са разделени на две категории: 3 уязвимости са открити директно в стандартите на Wi-Fi и се отнасят за всички устройства, поддържащи актуалните стандарти IEEE 802.11 (проблемите съществуват от 1997 година). 9 уязвимости касаят грешки и недостатъци в конкретни реализации на безжичните стекове. Основната опасност представлява втората категория, тъй като организирането на атаки на недоразуменията в стандартите изисква специфични настройки или извършването на определени действия от жертвата. Всички уязвимости се проявяват независимо от използването на протоколи за защита на Wi-Fi, включително при използване на WPA3.

Повечето открити методи на атака позволяват на нападателя да извърши подмяна на L2 кадри в защитена мрежа, което дава възможност за намеса в трафика на жертвата. Най-реалистичният сценарий на атака включва подмяна на DNS отговори с цел насочване на потребителя към хост на атакуващия. Също така се привежда пример за използването на уязвимости за заобикаляне на адресния транслятор на безжичен рутер и организиране на директен достъп до устройство в локалната мрежа или игнориране на ограниченията на защитната стена. Втората част от уязвимостите, свързана с обработката на фрагментирани кадри, дава възможност за извличане на данни за трафика в безжичната мрежа и перехващане на данни на потребителя, предавани без използване на криптиране.

Изследователят подготви демонстрация, която показва как може да се използва уязвимостите за прихващане на парола, предадена при достъп до сайта по протокола HTTP без криптиране. Също така е показано как да атакувате интелигентен контакт, управляван през Wi-Fi, и да го използвате като плацдарм за продължаване на атаката към неактуализирани устройства в локалната мрежа, които имат неотстранени уязвимости (например, успя да атакува неактуализиран компютър с Windows 7 през NAT).

За експлоатация на уязвимостите атакуващият трябва да бъде в обхвата на целевото безжично устройство, за да изпрати на жертвата специално подготвен набор от кадри. Проблемите засягат както клиентските устройства и безжичните карти, така и точките за достъп и Wi-Fi маршрутизатори. В общи линии, заобикалящи мерки за защита, достатъчни са използването на HTTPS в комбинация с криптиране на DNS трафика чрез DNS over TLS или DNS over HTTPS. За защита също подхождат VPN.

Най-опасни се считат четири уязвимости в реализациите на безжични устройства, които позволяват тривиални методи за постигане на подмяна на своите некриптирани кадри:

• Уязвимостите CVE-2020-26140 и CVE-2020-26143 допускат подмяна на кадри на някои точки за достъп и безжични карти в Linux, Windows и FreeBSD.
• Уязвимостта VE-2020-26145 допуска обработка на широковещателни некриптирани фрагменти като пълноценни кадри в macOS, iOS, FreeBSD и NetBSD.
• Уязвимостта CVE-2020-26144 допуска обработка на некриптирани реконструирани кадри A-MSDU с EtherType EAPOL в Huawei Y6, Nexus 5X, FreeBSD и LANCOM AP.

Други уязвимости в реализациите основно са свързани с проблеми, възникващи при обработка на фрагментирани кадри:

• CVE-2020-26139: допуска пренасочване на кадри с флаг EAPOL, изпратени от неаутентикиран подател (засяга 2/4 проверени точки за достъп, както и решения на базата на NetBSD и FreeBSD).
• CVE-2020-26146: допуска реконструиране на криптирани фрагменти без проверка на реда на номера на последователността.
• CVE-2020-26147: допуска реконструиране на смесени криптирани и некриптирани фрагменти.
• CVE-2020-26142: позволява обработка на фрагментирани кадри като пълни кадри (засяга OpenBSD и безжичния модул ESP12-F).
• CVE-2020-26141: липсва проверка на TKIP MIC за фрагментирани кадри.

Проблеми в спецификациите:

• CVE-2020-24588 — атака на агрегирани кадри (флагът «is aggregated» не е защитен и може да бъде заменен от атакуващия в кадрите A-MSDU в WPA, WPA2, WPA3 и WEP). За пример на приложението на атаката се споменава пренасочването на потребителя към злонамерен DNS-сървър или заобикаляне на NAT.
• CVE-2020-245870 — атака на смесване на ключове (разрешава се препореждане на фрагменти, криптирани с използване на различни ключове в WPA, WPA2, WPA3 и WEP). Атаката позволява определяне на данните, изпратени от клиента, например установяване на съдържанието на Cookie при достъп до HTTP.
• CVE-2020-24586 — атака на кеша на фрагменти (стандартите, обхващащи WPA, WPA2, WPA3 и WEP, не изискват премахване на вече заседнали в кеша фрагменти след ново свързване към мрежата). Позволява определяне на данните, изпратени от клиента, и извършване на подмяна на собствените данни.

За тестване на степента на уязвимост на устройствата си е подготвено специално оборудване и готов Live образ за създаване на стартиращ USB носител. В Linux проблемите се проявяват в безжичната мрежа mac80211, в отделни безжични драйвери и в фърмуер, зареждан на безжични карти. За отстраняване на уязвимостите е предложен комплект пачове, обхващащ мак80211 стека и драйверите ath10k/ath11k. За някои устройства, като безжичните карти Intel, допълнително се изисква инсталирането на фърмуерна актуализация.

Тестове на типични устройства:

Тестове на безжични карти в Linux и Windows:

Тестове на безжични карти във FreeBSD и NetBSD:

Производителите бяха уведомени за проблемите още преди 9 месеца. Такъв дълъг период на ембарго се обяснява с координираната подготовка на актуализации и закъснения при подготовката на изменения в спецификациите от организациите ICASI и Wi-Fi Alliance. Първоначално беше планирано разкриването на информацията на 9 март, но след оценка на рисковете бе решено публикуването да се отложи с още два месеца, за да се предостави повече време за подготовка на пачове с оглед на сложността на промените и трудностите, предизвикани от пандемията COVID-19.

Забележително е, че въпреки забраната, компанията Microsoft предварително отстрани някои уязвимости в мартовското обновление на Windows. Разкритията бяха отложени с една седмица спрямо първоначално предвидената дата, а компанията Microsoft не успя или не пожела да направи изменения в готовото за публикуване планирано обновление, с което създаде заплаха за потребителите на други системи, тъй като злонамерени лица можеха да получат информация за уязвимостите чрез обратно инженерство на съдържанието на обновленията.

Източник: opennet.ru