Eine Schwachstelle in Geräten auf Basis von SoC Realtek, die es ermöglicht, Code durch das Senden eines UDP-Pakets auszuführen.

Forscher von Faraday Security haben auf der DEFCON-Konferenz Details zur Ausnutzung einer kritischen Schwachstelle (CVE-2022-27255) im SDK für Realtek RTL819x-Chips vorgestellt. Diese Schwachstelle ermöglicht es, durch das Senden eines speziell formatierten UDP-Pakets eigenen Code auf dem Gerät auszuführen. Die Schwachstelle ist bemerkenswert, da sie Geräte angreift, bei denen der Zugriff auf die Weboberfläche für externe Netzwerke deaktiviert ist — es genügt, ein einziges UDP-Paket zu senden.

Die Schwachstelle betrifft Geräte, die verwundbare Versionen des Realtek SDK verwenden, einschließlich eCos RSDK 1.5.7p1 und MSDK 4.9.4p1. Sicherheitsupdates für das eCos SDK wurden am 25. März von Realtek veröffentlicht. Derzeit ist unklar, welche spezifischen Geräte von dem Problem betroffen sind — SoCs von Realtek RTL819x werden in Netzwerkroutern, Zugriffspunkten, WLAN-Verstärkern, IP-Kameras, Internet-of-Things-Geräten und anderen Netzwerkgeräten von mehr als 60 Herstellern verwendet, darunter Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Smartlink, UPVEL, ZTE und Zyxel.

Beispiele für Exploits, die bereits öffentlich zugänglich sind, zeigen, wie man entfernten Zugriff auf Geräte erhält und eigene Befehle ausführt, am Beispiel eines Angriffs auf den Router Nexxt Nebula 300 Plus. Zusätzlich wurden Tools veröffentlicht, um Firmware auf Schwachstellen zu analysieren.

Angesichts der Probleme bei der Vorbereitung und Lieferung sowie der Firmware-Updates für bereits veröffentlichte Geräte wird in naher Zukunft mit automatisierten Angriffen und Würmern gerechnet, die anfällige Netzwerkgeräte angreifen. Nach einem erfolgreichen Angriff können die betroffenen Geräte von Angreifern verwendet werden, um beispielsweise Botnetze zu bilden, Backdoors zur Schaffung von Hintertüren in das interne Unternehmensnetzwerk zu implementieren, Transitdatenverkehr abzufangen oder ihn auf externe Hosts umzuleiten.

Die Schwachstelle wird durch einen Buffer Overflow im Modul "SIP ALG" (SIP Application Layer Gateway) verursacht, das zur Weiterleitung von SIP-Paketen hinter einem NAT verwendet wird. Das Problem tritt aufgrund fehlender Überprüfung der tatsächlichen Größe der empfangenen Daten auf, was zum Überschreiben des Speichers außerhalb des festen Puffers führt, wenn die Funktion strcpy während der Verarbeitung von SIP-Paketen aufgerufen wird. Ein Angriff kann durch das Senden eines UDP-Pakets mit ungültigen Werten in den Datenfeldern des SDP-Blocks oder im SIP-Protokollkopf erfolgen. Um die Schwachstelle auszunutzen, reicht es aus, ein einziges Paket an einen beliebigen UDP-Port des WAN-Interfaces zu senden.

Als vorübergehende Schutzmaßnahme wird empfohlen, an der Firewall oder im System zur Verhinderung von Netzangriffen UDP-Pakete mit SIP-Nachrichten "INVITE", der Zeile "m=audio" und einer Größe von mehr als 128 Bytes zu blockieren. Beispielregel zur Erkennung von Ausnutzungsversuchen in IDS Snort 3: alert udp any any -> any any (sid:1000000; \ msg:"Realtek eCOS SDK SIP Traffic Exploit CVE-2022-27255"; \ content: "invite"; depth: 6; nocase; \ content: "m=audio "; \ isdataat: 128,relative; content:!"|0d|"; within: 128;)

Quelle: opennet.ru