Уязвимост в безжични точки за достъп, позволяваща организиране на прихващане на трафик

Група изследователи от университетите Цинхуа (Китай) и Джордж Вашингтон (САЩ) разкриха информация за уязвимост (CVE-2022-25667) в безжичните точки за достъп, позволяваща организиране на прихващане на трафик (MITM) в безжични мрежи, защитени чрез протоколи WPA, WPA2 и WPA3. Чрез манипулиране на ICMP пакети с флаг «redirect» атакуващият може да постигне пренасочване на трафика на жертвата в рамките на безжичната мрежа през собствената си система, което може да се използва за прихващане и подмяна на нешифровани сесии (например, заявки към сайтове без HTTPS).

Уязвимостта е причинена от липсата на адекватна филтрация на фалшиви ICMP съобщения с подменен адрес на подателя (спуфинг) в мрежовите процесори (NPU, Network Processing Unit), осигуряващи нискоуровнева обработка на пакети в безжичната мрежа. Между другото, NPU пренасочвали без проверка за спуфинг фалшиви ICMP пакети с флаг «redirect», които могат да се използват за промяна на параметрите на таблиците за маршрутизиране на страната на потребителя-жертва. Атаката се свежда до изпращане на ICMP пакет от името на точката за достъп с флаг «redirect» с указание на фалшиви данни в заглавката на пакета. Поради уязвимостта съобщението се пренасочва от точката за достъп и бива обработено от мрежовия стек на жертвата, която приема, че съобщението е изпратено от точката за достъп.

Допълнително изследователите предлагат метод за заобикаляне на проверките на ICMP пакетите с флаг «redirect» на страната на крайния потребител и изменения в неговата таблица за маршрутизиране. За заобикаляне на филтрацията атакуващият предварително определя активен UDP порт от страната на жертвата. Брейк, в същата безжична мрежа атакуващият може да прихваща трафик, но не може да го разшифрова, тъй като не знае сесионния ключ, използван при достъпа на жертвата до точката за достъп. Въпреки това, изпращайки на жертвата проверъчни пакети атакуващият, на базата на анализа на постъпващите ICMP отговори с флаг «Destination Unreachable», може да определи активния UDP порт. След това атакуващият формира ICMP съобщение с флаг «redirect» и фалшив UDP заглавка, в която е указаният открит UDP порт. Обработката на това съобщение води до изкривяване на таблицата за маршрутизиране в системата на жертвата и пренасочване на трафика с възможност за прихващане в открит вид на канален ниво.

Проблемата е потвърдена в точките за достъп, използващи чипове на HiSilicon и Qualcomm. Изследването на 55 различни модела точки за достъп от 10 известни производители (Cisco, NetGear, Xiaomi, Mercury, 360, Huawei, TP-Link, H3C, Tenda, Ruijie) показа, че всички те са уязвими и не блокират фалшиви ICMP пакети. Освен това, при анализа на 122 съществуващи безжични мрежи бе установена възможността за провеждане на атака в 109 мрежи (89%).

За експлоатация на уязвимостите, атакуващият трябва да има законно свързване към Wi-Fi мрежата, т.е. да познава параметрите за достъп до безжичната мрежа (уязвимостите позволяват заобикаляне на механизмите за разделяне на трафика на потребителите, прилагани в протоколите WPA*). В отличие от традиционните MITM атаки върху безжични мрежи, използвайки техниката за спуфинг на ICMP пакети, атакуващият може да се справи без инсталиране на своя фалшива точка за достъп за прихващане на трафика и да се възползва от легитимни точки за достъп, обслужващи мрежата, за пренасочване към жертвата на специално оформени ICMP пакети.