Sicherheitsanfälligkeiten im Realtek SDK führten zu Problemen bei Geräten von 65 Herstellern

In den Komponenten des Realtek SDK, das von verschiedenen Herstellern kabelloser Geräte in ihren Firmware-Versionen verwendet wird, wurden vier Sicherheitsanfälligkeiten entdeckt, die es einem nicht authentifizierten Angreifer ermöglichen, Code mit erhöhten Rechten aus der Ferne auf dem Gerät auszuführen. Vorläufigen Schätzungen zufolge sind mindestens 200 Modellreihen von 65 verschiedenen Anbietern betroffen, einschließlich verschiedener Modelle von Wireless-Routern wie Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE und Zyxel.

Das Problem betrifft verschiedene Klassen kabelloser Geräte auf Basis des SoC RTL8xxx, von Wireless-Routern und Wi-Fi-Verstärkern bis hin zu IP-Kameras und intelligenten Geräten zur Lichtsteuerung. Bei Geräten, die auf RTL8xxx-Chips basieren, wird eine Architektur verwendet, die zwei SoCs vorsieht – auf dem ersten läuft die Firmware des Herstellers auf Basis von Linux, während das zweite ein separates, abgespecktes Linux-Umfeld mit der Implementierung der Funktionen eines Access Points beherbergt. Die Hardware des zweiten Umfelds basiert auf Standardkomponenten, die von Realtek im SDK bereitgestellt werden. Diese Komponenten verarbeiten unter anderem die Daten, die durch das Senden externer Anfragen eingehen.

Die Sicherheitsanfälligkeiten betreffen Produkte, die Realtek SDK v2.x, Realtek "Jungle" SDK v3.0-3.4 und Realtek "Luna" SDK bis zur Version 1.3.2 verwenden. Ein Patch wurde bereits im Update Realtek "Luna" SDK 1.3.2a veröffentlicht, und Patches für das Realtek "Jungle" SDK sind in Vorbereitung. Für Realtek SDK 2.x sind keine Patches geplant, da die Wartung dieser Version bereits eingestellt wurde. Für alle Sicherheitsanfälligkeiten sind betriebliche Prototypen von Exploits bereitgestellt, die eine Ausführung eigenen Codes auf dem Gerät ermöglichen.

Die identifizierten Sicherheitsanfälligkeiten (den ersten beiden wurde das Gefahrenniveau 8.1 zugeordnet, den anderen 9.8):

• CVE-2021-35392 – Pufferüberlauf in den Prozessen mini_upnpd und wscd, die die Funktionalität von "WiFi Simple Config" bereitstellen (mini_upnpd verarbeitet SSDP-Pakete, während wscd neben der Unterstützung von SSDP auch UPnP-Anfragen auf Basis des HTTP-Protokolls bedient). Ein Angreifer kann die Ausführung seines Codes erreichen, indem er speziell formatierte UPnP-Anfragen "SUBSCRIBE" mit einem zu hohen Portnummerwert im Feld "Callback" sendet. SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
• CVE-2021-35393 – eine Schwachstelle in den „WiFi Simple Config“-Handlern, die bei der Verwendung des SSDP-Protokolls auftritt (verwendet UDP und ein Anfrageformat, das HTTP ähnelt). Das Problem wird durch die Verwendung eines festen Puffers von 512 Bytes verursacht, der bei der Verarbeitung des Parameters „ST:upnp“ in M-SEARCH-Nachrichten verwendet wird, die von Clients gesendet werden, um die Verfügbarkeit von Diensten im Netzwerk zu bestimmen.
• CVE-2021-35394 – eine Schwachstelle im MP Daemon-Prozess, der für die Durchführung von Diagnoseoperationen (ping, traceroute) verantwortlich ist. Das Problem ermöglicht die Einspeisung eigener Befehle aufgrund unzureichender Argumentüberprüfung beim Ausführen von externen Tools.
• CVE-2021-35395 – eine Reihe von Schwachstellen in Weboberflächen, die auf http-Servern wie /bin/webs und /bin/boa basieren. In beiden Servern Typische Sicherheitsanfälligkeiten wurden festgestellt, die durch das Fehlen einer Argumentprüfung vor dem Aufruf externer Dienstprogramme durch die Funktion system() verursacht werden. Die Unterschiede beschränken sich nur auf die Verwendung verschiedener APIs für den Angriff. Beide Handler enthielten keinen Schutz gegen CSRF-Angriffe und DNS-Rebinding-Techniken, die es ermöglichen, Anfragen aus einem externen Netzwerk zu senden, während der Zugriff auf die Schnittstelle nur für das interne Netzwerk beschränkt ist. In den Prozessen wurde außerdem standardmäßig das vordefinierte Konto supervisor/supervisor verwendet. Darüber hinaus wurden in den Handlern mehrere Stacküberläufe entdeckt, die auftreten, wenn zu große Argumente gesendet werden. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
• Zusätzlich wird festgestellt, dass weitere Schwachstellen im Prozess UDPServer aufgetreten sind. Wie sich herausstellte, wurde eines der Probleme bereits von anderen Forschern im Jahr 2015 entdeckt, jedoch nicht vollständig behoben. Das Problem wird durch fehlende angemessene Überprüfung der Argumente, die an die Funktion system() übergeben werden, verursacht und kann ausgenutzt werden, indem eine Zeichenfolge wie „orf;ls“ an den Netzwerkport 9034 gesendet wird. Außerdem wurde im UDPServer ein Pufferüberlauf aufgrund unsicheren Gebrauchs der Funktion sprintf festgestellt, der ebenfalls potenziell für Angriffe verwendet werden kann.

Quelle: opennet.ru