Forskere fra Faraday Security præsenterede detaljer om udnyttelsen af en kritisk sårbarhed (CVE-2022-27255) i SDK til Realtek RTL819x-chips på DEFCON-konferencen, som gør det muligt at eksekvere sin kode på enheden ved at sende en specielt udformet UDP-pakke. Sårbarheden er bemærkelsesværdig, fordi den tillader angreb på enheder, hvor adgangen til webgrænsefladen for eksterne netværk er deaktiveret — for at udføre angrebet er det tilstrækkeligt blot at sende én UDP-pakke.
Sårbarheden berører enheder, der bruger sårbare versioner af Realtek SDK, herunder eCos RSDK 1.5.7p1 og MSDK 4.9.4p1. Opdateringer af eCos SDK, der retter sårbarheden, blev offentliggjort af Realtek den 25. marts. Det er endnu uklart, hvilke specifikke enheder der er påvirket — Realtek RTL819x SoC anvendes i netværksroutere, adgangspunkter, Wi-Fi-forstærkere, IP-kameraer, IoT-enheder og andre netværksenheder fra over 60 producenter, herunder Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Smartlink, UPVEL, ZTE og Zyxel.
Eksempler på exploits til at opnå fjernadgang til enheden og udføre egne kommandoer ved angreb på Nexxt Nebula 300 Plus-routeren er allerede blevet offentliggjort. Derudover er der offentliggjort værktøjer til at analysere firmware for sårbarheder.
I betragtning af problemerne med forberedelse og levering samt opdateringer af firmwares til allerede udgivne enheder, forventes det, at automatiserede angreb og orme, der rammer sårbare netværksenheder, vil dukke op snart. Efter et vellykket angreb kan de berørte enheder bruges af ondsindede aktører, eksempelvis til at danne botnets, implementere bagdøre for at efterlade en indgang til virksomhedens interne netværk, opsnappe transittrafik eller omdirigere den til en ekstern vært.
Sårbarheden skyldes en buffer overflow i modulet "SIP ALG" (SIP Application Layer Gateway), der bruges til at organisere videresendelse af SIP-pakker bag en netværksadresseoversætter. Problemet opstod på grund af manglende kontrol af den faktiske størrelse af de modtagne data, hvilket fører til overskrivning af hukommelsesområdet uden for den faste buffer, når funktionen strcpy kaldes under behandlingen af SIP-pakker. Et angreb kan udføres ved at sende en UDP-pakke med ugyldige felter i SDP-datakubens blok eller SIP-protokoloverskriften. For at udnytte dette er det tilstrækkeligt at sende én pakke til en vilkårlig UDP-port på WAN-interfacet.
Som en midlertidig beskyttelsesmetode anbefales det at blokere UDP-pakker med SIP-beskeden "INVITE", linjen "m=audio" og større størrelse end 128 bytes på firewall'en eller i systemet til forebyggelse af netværksindtrængen. Eksempel på en regel til at identificere forsøg på udnyttelse i IDS Snort 3: alert udp any any -> any any (sid:1000000; msg:"Realtek eCOS SDK SIP Traffic Exploit CVE-2022-27255"; content: "invite"; depth: 6; nocase; content: "m=audio "; isdataat: 128,relative; content:!"|0d|"; within: 128;)
Kilde: opennet.ru
