Eine Sicherheitsanfälligkeit in Geräten mit SoC von Realtek, die das Ausführen von Code durch das Senden eines UDP-Pakets ermöglicht.

Forscher von Faraday Security haben auf der DEFCON-Konferenz Details zu einer kritischen Schwachstelle (CVE-2022-27255) im SDK für Realtek RTL819x-Chips vorgestellt, die es ermöglicht, eigenen Code auf dem Gerät auszuführen, indem ein speziell gestaltetes UDP-Paket gesendet wird. Die Schwachstelle ist bemerkenswert, da sie Geräte angreift, bei denen der Zugang zum Web-Interface für externe Netzwerke deaktiviert ist – für den Angriff genügt es, ein einziges UDP-Paket zu senden.

Die Schwachstelle betrifft Geräte, die verwundbare Versionen des Realtek SDK verwenden, einschließlich eCos RSDK 1.5.7p1 und MSDK 4.9.4p1. Sicherheitsupdates für das eCos SDK zur Behebung der Schwachstelle wurden von Realtek am 25. März veröffentlicht. Es ist noch unklar, welche spezifischen Geräte betroffen sind – der SoC Realtek RTL819x wird in Netzwerkrouten, Access Points, Wi-Fi-Repeatern, IP-Kameras, Internet-of-Things-Geräten und anderen Netzwerkgeräten von über 60 Herstellern verwendet, darunter Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Smartlink, UPVEL, ZTE und Zyxel.

Im Internet sind bereits Beispiele für Exploits veröffentlicht worden, die den Remote-Zugriff auf das Gerät ermöglichen und die Ausführung eigener Befehle anhand eines Angriffs auf den Router Nexxt Nebula 300 Plus demonstrieren. Zudem wurden Tools zur Analyse von Firmware auf Schwachstellen veröffentlicht.

Angesichts der Probleme mit der Vorbereitung und Lieferung sowie den Firmware-Updates für bereits ausgelieferte Geräte wird erwartet, dass bald automatisierte Angriffe und Würmer auftauchen, die anfällige Netzwerkgeräte infizieren. Nach einem erfolgreichen Angriff können die betroffenen Geräte von Angreifern genutzt werden, um beispielsweise Botnets zu bilden, Hintertüren zur Schaffung eines Zugangs zur internen Unternehmensnetzwerk zu implementieren oder den Transitverkehr abzufangen bzw. auf einen externen Host umzuleiten.

Die Schwachstelle wird durch einen Buffer Overflow im 'SIP ALG'-Modul (SIP Application Layer Gateway) verursacht, das für das Routing von SIP-Paketen hinter einem NAT verwendet wird. Das Problem entstand aufgrund fehlender Überprüfungen der tatsächlichen Größe der empfangenen Daten, was dazu führt, dass der Speicherbereich außerhalb des festen Buffers überschrieben wird, wenn die Funktion strcpy während der Verarbeitung von SIP-Paketen aufgerufen wird. Der Angriff kann erfolgen, indem ein UDP-Paket mit falschen Werten in den SDP-Datenfeldern oder im SIP-Protokollheader gesendet wird. Für die Ausnutzung genügt das Senden eines Pakets an einen beliebigen UDP-Port des WAN-Interfaces.

Als Abhilfe wird empfohlen, UDP-Pakete mit der SIP-Nachricht 'INVITE', der Zeile 'm=audio' und einer Größe von über 128 Bytes an der Firewall oder im Intrusion Prevention System zu blockieren. Ein Beispielregel zur Erkennung von Ausnutzungsversuchen in IDS Snort 3: alert udp any any -> any any (sid:1000000; \ msg:'Realtek eCOS SDK SIP Traffic Exploit CVE-2022-27255'; \ content: 'invite'; depth: 6; nocase; \ content: 'm=audio '; \ isdataat: 128,relative; content:!'|0d|'; within: 128;)

Quelle: opennet.ru