V komponentách Realtek SDK, které využívají různí výrobci bezdrátových zařízení ve svých firmwarech, byly identifikovány čtyři zranitelnosti, které umožňují neautentizovanému útočníkovi vzdáleně vykonat kód na zařízení s vyššími oprávněními. Podle předběžného odhadu se problémy dotýkají alespoň 200 modelů zařízení od 65 různých dodavatelů, včetně různých modelů bezdrátových routerů Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE a Zyxel.
Problém se týká různých tříd bezdrátových zařízení na bázi SoC RTL8xxx, od bezdrátových routerů a Wi-Fi zesilovačů až po IP kamery a chytré zařízení pro řízení osvětlení. V zařízeních postavených na čipech RTL8xxx se používá architektura, která zahrnuje instalaci dvou SoC — na prvním je nainstalován firmware výrobce na bázi Linuxu a na druhém běží samostatné zjednodušené Linuxové prostředí s implementací funkcí přístupového bodu. Náplň druhého prostředí se opírá o standardní komponenty poskytované společností Realtek v SDK. Tyto komponenty mimo jiné zpracovávají data přicházející jako výsledek odeslání externích požadavků.
Zranitelnosti se dotýkají produktů, ve kterých jsou použity Realtek SDK v2.x, Realtek "Jungle" SDK v3.0-3.4 a Realtek "Luna" SDK do verze 1.3.2. Oprava byla již vydána v aktualizaci Realtek "Luna" SDK 1.3.2a, a také se připravují na publikaci patche pro Realtek "Jungle" SDK. Opravy pro Realtek SDK 2.x se plánují vydat, protože podpora této větve byla již ukončena. Pro všechny zranitelnosti byly poskytnuty funkční prototypy exploitů, které umožňují dosažení vykonání vlastního kódu na zařízení.
Zjištěné zranitelnosti (prvním dvěma byl přiřazen stupeň nebezpečnosti 8.1, zatímco ostatním 9.8):
- CVE-2021-35392 — přetečení bufferu v procesech mini_upnpd a wscd, implementujících funkci „WiFi Simple Config“ (mini_upnpd zpracovává SSDP pakety, zatímco wscd kromě podpory SSDP obsluhuje UPnP HTTP požadavky). Útočník může dosáhnout provedení svého kódu zasláním speciálně formátovaných UPnP požadavků „SUBSCRIBE“ s příliš velkým číslem portu v poli „Callback“. SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — zranitelnost v zpracovatelích „WiFi Simple Config“, projevující se při použití protokolu SSDP (používá UDP a formát požadavků podobný HTTP). Problém je způsoben použitím pevného bufferu o velikosti 512 bajtů při zpracování parametru „ST:upnp“ v M-SEARCH zprávách, které klienti posílají pro zjištění dostupných služeb v síti.
- CVE-2021-35394 — zranitelnost v procesu MP Daemon, odpovědném za provádění diagnostických operací (ping, traceroute). Problém umožňuje provádění vlastních příkazů kvůli nedostatečné kontrole argumentů při vykonávání externích utilit.
- CVE-2021-35395 — série zranitelností v webových rozhraních na základě http serverů /bin/webs a /bin/boa. V obou serverech Byly zjištěny typické zranitelnosti způsobené nedostatečnou kontrolou argumentů před spuštěním externích utilit funkcí system(). Rozdíly spočívají pouze v použití různých API pro útok. Oba zpracovatele neumožnily ochranu proti útoku CSRF a technikám "DNS rebinding", což umožňuje organizovat odesílání požadavků z externí sítě při omezení přístupu k rozhraní pouze na vnitřní síť. V procesech byla rovněž výchozí uživatelská účet supervisor/supervisor. Dále byly ve zpracovatelích zjištěny některé přetečení zásobníku, které se projevují při odesílání argumentů příliš velké velikosti. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Dále se uvádí, že byly zjištěny další zranitelnosti v procesu UDPServer. Jak se ukázalo, jeden z problémů byl již v roce 2015 objeven jinými výzkumníky, ale nebyl zcela opraven. Problém je způsoben nedostatečnou kontrolou argumentů předávaných funkci system() a může být využit odesláním řetězce na síťový port 9034 ve formě 'orf;ls'. Kromě toho bylo v UDPServeru odhaleno přetečení zásobníku v důsledku nebezpečného použití funkce sprintf, které také může být potenciálně použito k provádění útoků.
Zdroj: opennet.ru
