I komponenterne i Realtek SDK, som anvendes af forskellige producenter af trÄdlÞse enheder i deres firmware, er der identificeret fire sÄrbarheder, der gÞr det muligt for en ikke-autentificeret angriber at eksekvere kode pÄ enheden med forhÞjede rettigheder. IfÞlge forelÞbige vurderinger pÄvirker problemerne mindst 200 modelenheder fra 65 forskellige leverandÞrer, herunder forskellige modeller af trÄdlÞse routere fra Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE og Zyxel.
Problemet dĂŠkker forskellige klasser af trĂ„dlĂžse enheder baseret pĂ„ SoC RTL8xxx, fra trĂ„dlĂžse routere og Wi-Fi-forstĂŠrkere til IP-kameraer og smarte enheder til belysningsstyring. I enheder, der er baseret pĂ„ RTL8xxx chips, anvendes en arkitektur, der indebĂŠrer installation af to SoC â pĂ„ den fĂžrste installeres producentens firmware baseret pĂ„ Linux, mens der pĂ„ den anden kĂžrer et separat strippet Linux-miljĂž med implementering af adgangspunkt funktioner. Indholdet af det andet miljĂž er baseret pĂ„ standardkomponenter, der leveres af Realtek i SDK'en. De nĂŠvnte komponenter behandler blandt andet data, der kommer som resultat af eksterne forespĂžrgsler.
SÄrbarhederne pÄvirker produkter, der bruger Realtek SDK v2.x, Realtek «Jungle» SDK v3.0-3.4 og Realtek «Luna» SDK op til version 1.3.2. En lÞsning er allerede udgivet i opdateringen Realtek «Luna» SDK 1.3.2a, og der forberedes ogsÄ patches til Realtek «Jungle» SDK. Der planlÊgges ikke udgivelser af lÞsninger til Realtek SDK 2.x, da vedligeholdelsen af denne gren allerede er ophÞrt. For alle sÄrbarheder er der leveret fungerende prototyper af exploits, der muliggÞr eksekvering af brugerens kode pÄ enheden.
De identificerede sÄrbarheder (de fÞrste to tilskrives en faregrad pÄ 8.1, mens de Þvrige har 9.8):
- CVE-2021-35392 â buffer overflow in the mini_upnpd and wscd processes, implementing the 'WiFi Simple Config' functionality (mini_upnpd handles SSDP packets, while wscd, in addition to supporting SSDP, serves UPnP requests based on the HTTP protocol). An attacker can achieve code execution by sending specially crafted UPnP 'SUBSCRIBE' requests with an excessively large port number in the 'Callback' field. SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 â a vulnerability in the handlers of 'WiFi Simple Config', manifested when using the SSDP protocol (uses UDP and a request format similar to HTTP). The issue is caused by the use of a fixed buffer of 512 bytes when processing the 'ST:upnp' parameter in M-SEARCH messages sent by clients to determine the presence of services in the network.
- CVE-2021-35394 â a vulnerability in the MP Daemon process responsible for conducting diagnostic operations (ping, traceroute). The issue allows an attacker to execute their commands due to insufficient argument checking when running external utilities.
- CVE-2021-35395 â a series of vulnerabilities in web interfaces based on http servers /bin/webs and /bin/boa. Both servere Der er identificeret typiske sĂ„rbarheder forĂ„rsaget af mangel pĂ„ argumentkontrol fĂžr eksekvering af eksterne vĂŠrktĂžjer med funktionen system(). Forskellene er kun i brugen af forskellige API'er til angreb. Begge behandlere inkluderede ikke beskyttelse mod CSRF-angreb og teknikker som "DNS rebinding", der muliggĂžr afsendelse af anmodninger fra et eksternt netvĂŠrk, mens adgangen til grĂŠnsefladen kun er begrĂŠnset til det interne netvĂŠrk. I processerne blev der desuden som standard brugt en foruddefineret konto supervisor/supervisor. Derudover blev der i behandlerne fundet flere stack overflow, der optrĂŠder ved afsendelse af argumenter af for stor stĂžrrelse. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Der blev yderligere opdaget flere sĂ„rbarheder i UDPServer-processen. Som det viste sig, var et af problemerne allerede blevet opdaget af andre forskere tilbage i 2015, men var ikke blevet fuldt udrettet. Problemet skyldes manglende korrekt validering af de argumenter, der sendes til system()-funktionen, og kan udnyttes ved at sende en streng af typen âorf;lsâ til netvĂŠrksport 9034. Desuden er der opdaget et buffer-overlĂžb i UDPServer pĂ„ grund af usikker brug af sprintf-funktionen, som ogsĂ„ potentielt kan anvendes til at udfĂžre angreb.
Kilde: opennet.ru
