Sårbarheder i Broadcom WiFi-chipdrivere, der muliggør fjernangreb på systemet

I drivere til Broadcom trådløse chips opdaget fire sårbarheder. I de enkleste tilfælde kan sårbarheder udnyttes til fjernkald af tjenestenægtelse, men scenarier, hvor eksploateringer kan udvikles, der giver en uautentificeret angriber mulighed for at udføre sin kode med Linux-kernens privilegier ved at sende korrekt formaterede pakker, er ikke udelukket.

Problemerne blev opdaget under reverse engineering af Broadcom's firmware. De sårbare chips anvendes bredt i bærbare computere, smartphones og forskellige forbrugerenheder, fra SmartTVs til Internet of Things-enheder. Især anvendes Broadcom-chips i smartphones fra producenter som Apple, Samsung og Huawei. Det er bemærkelsesværdigt, at Broadcom blev underrettet om sårbarhederne allerede i september 2018, men det tog omkring 7 måneder at udgive rettelser i samarbejde med hardwareproducenterne.

To sårbarheder berører interne firmware og kan potentielt tillade udførelse af kode i det operativsystem, der anvendes i Broadcom-chipsene, hvilket muliggør angreb på ikke-Linux-miljøer (f.eks. er angreb på Apple-enheder bekræftet, CVE-2019-8564). Mindes skal nogle Wi-Fi-chips fra Broadcom være specialiserede processorer (ARM Cortex R4 eller M3), på hvilke der kører en form for eget operativsystem med realisering af deres påtrængende 802.11 trådløse stak (FullMAC). I sådanne chips sikrer driveren interaktionen mellem hovedsystemet og Wi-Fi-chipens firmware. For at opnå fuld kontrol over hovedsystemet efter kompromittering af FullMAC anbefales det at udnytte yderligere sårbarheder eller på nogle chips at udnytte den fulde adgang til det systemiske hukommelse. I chips med SoftMAC er den 802.11 trådløse stak implementeret på driverens side og udføres med systemets CPU.

I driverne viser sårbarheder sig både i den proprietære driver wl (SoftMAC og FullMAC) og i den åbne brcmfmac (FullMAC). I driveren wl er der identificeret to buffer overflow, der udnyttes ved at sende specielt formaterede EAPOL-beskeder under forbindelseforhandlingen (angrebet kan finde sted ved tilslutning til et ondsindet adgangspunkt). I tilfælde af en chip med SoftMAC fører sårbarhederne til kompromittering af systemkernen, mens kode kan eksekveres i firmwaren for FullMAC. I brcmfmac er der både buffer overflow og en fejl i behandlingen af pakker, der udnyttes gennem afsendelse af kontrolpakker. I Linux-kernen er der problemer med driveren brcmfmac. , som tilføjer en Just In Time Compiler til kernen — en oversætter til at konvertere BPF bytecode til native er blevet rettet i februar.

Identificerede sårbarheder:

• CVE-2019-9503 – ukorrekt adfærd i driveren brcmfmac ved behandling af kontrolpakker, der bruges til at interagere med firmwaren. Hvis en pakke med firmwarebegivenheder kommer fra en ekstern kilde, afviser driveren den, men hvis begivenheden modtages via den interne bus, går pakken igennem. Problemet er, at der via den interne bus overføres begivenheder fra enheder, der bruger USB, hvilket tillader angribere at succesfuldt sende kontrolpakker til firmwaren, når der anvendes trådløse adaptere med USB-interface.
• CVE-2019-9500 – ved aktivering af funktionen "Wake-up on Wireless LAN" kan der opstå et heap overflow i driveren brcmfmac (funktionen brcmf_wowl_nd_results) ved at sende en specielt modificeret kontrolpakke. Denne sårbarhed kan bruges til at opnå kodeeksekvering i hovedsystemet efter kompromittering af chippen eller i kombination med sårbarheden CVE-2019-9503 for at omgå kontrol ved fjernsendelse af kontrolpakken.
• CVE-2019-9501 – buffer overflow i driveren wl (funktionen wlc_wpa_sup_eapol), der opstår ved behandling af beskeder, hvor indholdet af producentinformationsfeltet overstiger 32 byte.
• CVE-2019-9502 – buffer overflow i driveren wl (funktionen wlc_wpa_plumb_gtk), der opstår ved behandling af beskeder, hvor indholdet af producentinformationsfeltet overstiger 164 byte.

Kilde: opennet.ru