Уязвимост в чиповете на Qualcomm и MediaTek, която позволява прихващане на част от WPA2 трафик

Изследователи от Eset разкри нов вариант (CVE-2020-3702) на уязвимостта 00 хил, приложимо за безжични чипове Qualcomm и MediaTek. като първата опция, която засегна чиповете Cypress и Broadcom, новата уязвимост ви позволява да дешифрирате прихванат Wi-Fi трафик, защитен с помощта на протокола WPA2.

Нека си припомним, че уязвимостта на Kr00k е причинена от неправилна обработка на ключове за криптиране, когато устройството е изключено (дисоциирано) от точката за достъп. В първата версия на уязвимостта, при прекъсване на връзката, сесийният ключ (PTK), съхранен в паметта на чипа, беше нулиран, тъй като в текущата сесия нямаше да бъдат изпратени допълнителни данни. В този случай данните, останали в буфера за предаване (TX), бяха криптирани с вече изчистен ключ, състоящ се само от нули, и съответно можеха лесно да бъдат дешифрирани по време на прихващане. Празният ключ се прилага само за остатъчни данни в буфера, който е с размер няколко килобайта.

Ключовата разлика между втората версия на уязвимостта, която се появява в чиповете на Qualcomm и MediaTek, е, че вместо да бъдат криптирани с нулев ключ, данните след дисоциацията се предават изобщо некриптирани, въпреки факта, че флаговете за криптиране са зададени. От устройствата, тествани за уязвимости, базирани на чипове Qualcomm, бяха отбелязани D-Link DCH-G020 Smart Home Hub и отворен рутер Turris Omnia. От устройствата, базирани на чипове MediaTek, бяха тествани рутер ASUS RT-AC52U и IoT решения, базирани на Microsoft Azure Sphere, използващи микроконтролера MediaTek MT3620.

За да използва и двата вида уязвимости, атакуващият може да изпрати специални контролни рамки, които причиняват дисоциация и прихващат изпратените след това данни. Прекъсването на връзката обикновено се използва в безжичните мрежи за превключване от една точка на достъп към друга по време на роуминг или когато комуникацията с текущата точка за достъп е загубена. Деасоциацията може да бъде причинена от изпращане на контролен кадър, който се предава некриптиран и не изисква удостоверяване (нападателят се нуждае само от обхвата на Wi-Fi сигнал, но не е необходимо да бъде свързан към безжична мрежа). Атака е възможна както когато уязвимо клиентско устройство има достъп до неуязвима точка за достъп, така и когато незасегнато устройство има достъп до точка за достъп, която проявява уязвимост.

Уязвимостта засяга криптирането на ниво безжична мрежа и ви позволява да анализирате само незащитени връзки, установени от потребителя (например DNS, HTTP и пощенски трафик), но не ви позволява да компрометирате връзки с криптиране на ниво приложение (HTTPS, SSH, STARTTLS, DNS през TLS, VPN и др.). Опасността от атака се намалява и от факта, че наведнъж атакуващият може да декриптира само няколко килобайта данни, които са били в предавателния буфер по време на прекъсването на връзката. За да улови успешно поверителни данни, изпратени през незащитена връзка, нападателят трябва или да знае точно кога е изпратена, или постоянно да инициира прекъсване на връзката от точката за достъп, което ще бъде очевидно за потребителя поради постоянните рестарти на безжичната връзка.

Проблемът беше отстранен в юлската актуализация на патентовани драйвери за чипове Qualcomm и в априлската актуализация на драйвери за чипове MediaTek. Корекция за MT3620 беше предложена през юли. Изследователите, които идентифицираха проблема, нямат информация за включването на корекции в безплатния драйвер ath9k. За тестване на устройства за излагане на двете уязвимости подготвен сценарий на език Python.

Освен това може да се отбележи идентифициране Изследователи от Checkpoint идентифицираха шест уязвимости в чиповете Qualcomm DSP, които се използват на 40% от смартфоните, включително устройства на Google, Samsung, LG, Xiaomi и OnePlus. Подробности за уязвимостите няма да бъдат предоставени, докато проблемите не бъдат разрешени от производителите. Тъй като DSP чипът е „черна кутия“, която не може да се контролира от производителя на смартфона, поправката може да отнеме много време и ще изисква координация с производителя на DSP чипа.

DSP чиповете се използват в съвременните смартфони за извършване на операции като обработка на аудио, изображения и видео, в компютри за системи с добавена реалност, компютърно зрение и машинно обучение, както и за прилагане на режим на бързо зареждане. Сред атаките, които идентифицираните уязвимости позволяват, се споменават: Заобикаляне на системата за контрол на достъпа - незабелязано заснемане на данни като снимки, видео, записи на разговори, данни от микрофон, GPS и др. Отказ от услуга - блокиране на достъпа до цялата съхранена информация. Скриване на злонамерена активност - създаване на напълно невидими и неотстраними злонамерени компоненти.

Източник: opennet.ru