FragAttacks — серия уязвимости в стандартите и реализациите на Wi-Fi

Мати Ванхоф (Mathy Vanhoef), авторът на атаката KRACK срещу безжичните мрежи, разкри информация за 12 уязвимости, засягащи различни безжични устройства. Откритите проблеми са представени под кодовото име FragAttacks и обхващат практически всички използвани безжични платки и точки за достъп — от тестваните 75 устройства, всяко е било уязвимо поне на едно от предложените методи на атака.

Проблемите са разделени на две категории: 3 уязвимости са идентифицирани директно в стандартите на Wi-Fi и засягат всички устройства, поддържащи актуалните стандарти IEEE 802.11 (проблемите съществуват от 1997 година). 9 уязвимости се отнасят до грешки и недостатъци в конкретни реализации на безжичните стекове. Основната опасност представлява втората категория, тъй като организирането на атаки на недостатъците в стандартите изисква специфични настройки или извършване на определени действия от жертвата. Всички уязвимости се проявяват независимо от използването на протоколи за осигуряване на безопасността на Wi-Fi, вкл. при използване на WPA3.

Повечето открити методи за атака позволяват на злодеите да извършват подмяна на L2 кадри в защитена мрежа, което дава възможност за намеса в трафика на жертвата. Като най-реалистичен сценарий на атака се споменава подмяна на отговорите на DNS, за да се насочи потребителят към хоста на атакуващия. Привежда се и пример за използване на уязвимостите за заобикаляне на транслятора на адреси в безжичния рутер и организиране на директен достъп до устройството в локалната мрежа или игнориране на ограниченията на защитната стена. Втората част от уязвимостите, свързана с обработката на фрагментирани кадри, позволява извличането на данни за трафика в безжичната мрежа и перехващането на данни от потребителите, предавани без използване на шифроване.

Изследване на демонстрацията, която показва как уязвимостите могат да се използват за прихващане на паролата, предавана при връзка с сайта по протокол HTTP без криптиране. Също така е показано как да се атакува интелигентно гнездо, управлявано чрез Wi-Fi, и да се използва като плацдарм за продължаване на атаката срещу неизменяема устройства в локалната мрежа, които имат неотстранени уязвимости (например, успяхме да атакуваме неизменян компютър с Windows 7 в вътрешната мрежа чрез заобикаляне на NAT).

За експлоатация на уязвимостите атакувачът трябва да бъде в обхвата на целевото безжично устройство, за да изпрати на жертвата специално оформен набор от кадри. Проблемите засягат както клиентските устройства и безжичните карти, така и точките за достъп и Wi-Fi маршрутизаторите. В общи линии, като защитна мярка е достатъчно да се използва HTTPS в комбинация с криптиране на DNS трафика чрез DNS over TLS или DNS over HTTPS. Подходяща е също и употребата на VPN.

Най-опасни се считат четири уязвимости в реализациите на безжични устройства, които позволяват чрез тривиални методи да се постигне подмяна на свои некриптирани кадри:

• Уязвимостите CVE-2020-26140 и CVE-2020-26143 позволяват подмяна на кадри на някои точки за достъп и безжични карти в Linux, Windows и FreeBSD.
• Уязвимостта VE-2020-26145 допуска обработка на широковещателни некриптирани фрагменти като пълноценни кадри в macOS, iOS, FreeBSD и NetBSD.
• Уязвимостта CVE-2020-26144 допуска обработка на некриптирани пренаредени кадри A-MSDU с EtherType EAPOL в Huawei Y6, Nexus 5X, FreeBSD и LANCOM AP.

Други уязвимости в реализациите основно са свързани с проблеми, възникващи при обработка на фрагментирани кадри:

• CVE-2020-26139: допуска пренасочване на кадри с флаг EAPOL, изпратени от неаутентифициран подател (засяга 2/4 проверени точки за достъп, а също и решения на базата на NetBSD и FreeBSD).
• CVE-2020-26146: допуска пренареждане на криптирани фрагменти без проверка на реда на последователност.
• CVE-2020-26147: допуска пренареждане на смесени криптирани и некриптирани фрагменти.
• CVE-2020-26142: позволява обработка на фрагментирани кадри като пълни кадри (засяга OpenBSD и безжичния модул ESP12-F).
• CVE-2020-26141: липсва проверка на TKIP MIC за фрагментирани кадри.

Проблеми в спецификациите:

• CVE-2020-24588 — атака върху агрегирани кадри (флагът „is aggregated“ не е защитен и може да бъде заменен от атакуващия в кадри A-MSDU в WPA, WPA2, WPA3 и WEP). Като пример за приложение на атаката се споменава пренасочването на потребителя към злонамерен DNS сървър или заобикаляне на NAT.
• CVE-2020-245870 — атака за смесване на ключове (разрешава се презареждането на фрагменти, шифровани с различни ключове в WPA, WPA2, WPA3 и WEP). Атаката позволява определянето на данните, изпратени от клиента, например, за определяне на съдържанието на бисквитките при HTTP.
• CVE-2020-24586 — атака върху кеша на фрагменти (стандартите, обхващащи WPA, WPA2, WPA3 и WEP, не изискват изтриването на вече задържани фрагменти в кеша след ново свързване с мрежата). Позволява определянето на данните, изпратени от клиента, и осъществяване на подмяна на собствени данни.

За тестуване на податливостта на проблемите със своите устройства е подготвен специален инструментариум и готов Live-образ за създаване на стартов USB-накривател. В Linux проблемите се проявяват в безжичната мрежа mac80211, в отделни безжични драйвъри и в фърмуер, зареждан на безжични платки. За устранение на уязвимостите е предложен комплект пачове, обхващащ стек mac80211 и драйвъри ath10k/ath11k. За някои устройства, като безжични карти на Intel, допълнително е необходимо инсталиране на обновление на фърмуера.

Тестове на стандартни устройства:

Тестове на безжични карти в Linux и Windows:

Тестове на безжични карти във FreeBSD и NetBSD:

Производителите бяха уведомени за проблемите още преди 9 месеца. Такъв дълъг период на ембарго се обяснява със скоординираното подготовка на актуализации и забавянията при подготовка на измененията в спецификациите от организациите ICASI и Wi-Fi Alliance. Първоначално се планираше разкриването на информацията на 9 март, но след анализ на рисковете беше решено да се отложи публикуването с още два месеца, за да се даде повече време за подготовка на пачове с оглед на нетривиалността на внасяните промени и трудностите, които възникват заради пандемията COVID-19.

Забележително е, че въпреки ембаргото, компанията Microsoft преди време за открита през мартовското обновление на Windows премахна някои уязвимости. Разкритията бяха отложени с една седмица в сравнение с първоначално планирания срок и компанията Microsoft не успя или не пожела да направи промени в готовото за публикуване планирано обновление, което създаде заплаха за потребителите на други системи, тъй като злонамерените лица можеха да получат информация за уязвимостите чрез извършване на обратен инженеринг на съдържанието на обновленията.

Източник: opennet.ru