Sicherheitsanfälligkeiten in den Treibern für Broadcom-WiFi-Chips, die es ermöglichen, Systeme aus der Ferne anzugreifen

In den Treibern für die drahtlosen Broadcom-Chips entdeckt vier von Schwachstellen. Im einfachsten Fall können Sicherheitsanfälligkeiten für einen remote ausgelösten Denial-of-Service-Angriff genutzt werden. Es sind jedoch auch Szenarien nicht ausgeschlossen, in denen Exploits entwickelt werden könnten, die es einem nicht authentifizierten Angreifer ermöglichen, seinen Code mit Kernelprivilegien in Linux auszuführen, indem speziell formatierte Pakete gesendet werden.

Die Probleme wurden während eines Reverse Engineering von Broadcom-Firmware festgestellt. Die betroffenen Chips werden häufig in Laptops, Smartphones und verschiedenen Verbrauchergeräten verwendet, von SmartTVs bis hin zu Internet-of-Things-Geräten. Insbesondere werden Broadcom-Chips in Smartphones von Herstellern wie Apple, Samsung und Huawei eingesetzt. Bemerkenswert ist, dass die Firma Broadcom bereits im September 2018 über die Schwachstellen informiert wurde, aber die koordinierte Bereitstellung von Patches mit den Geräteherstellern etwa 7 Monate in Anspruch nahm.

Zwei Schwachstellen betreffen die internen Firmware-Bereiche und ermöglichen potenziell die Ausführung von Code in der Betriebssystemumgebung, die in den Broadcom-Chips verwendet wird, was Angriffe auf Umgebungen ermöglicht, die kein Linux verwenden (z.B. es wurde die Möglichkeit eines Angriffs auf Apple-Geräte bestätigt, CVE-2019-8564). Wir erinnern daran, dass einige Wi-Fi-Chips von Broadcom spezialisierte Prozessoren (ARM Cortex R4 oder M3) sind, auf denen eine Art eigenes Betriebssystem mit der Implementierung ihres eigenen 802.11-WLAN-Stacks (FullMAC) ausgeführt wird. In solchen Chips sorgt der Treiber dafür, dass das Hauptsystem mit der Firmware des Wi-Fi-Chips kommunizieren kann. Um die vollständige Kontrolle über das Hauptsystem nach der Kompromittierung von FullMAC zu übernehmen, werden zusätzliche Schwachstellen vorgeschlagen oder bei einigen Chips kann auf den vollständigen Zugriff auf den Systemspeicher zugegriffen werden. Bei Chips mit SoftMAC wird der WLAN-Stack 802.11 auf der Seite des Treibers realisiert und mit dem System-CPU ausgeführt.

In den Treibern treten Schwachstellen sowohl im proprietären Treiber wl (SoftMAC und FullMAC) als auch im offenen brcmfmac (FullMAC) auf. Im Treiber wl wurden zwei Pufferüberläufe festgestellt, die bei der Übertragung speziell gestalteter EAPOL-Nachrichten während des Verbindungsaufbaus ausgenutzt werden können (ein Angriff kann durchgeführt werden, wenn man sich mit einem bösartigen Access Point verbindet). Im Falle eines Chips mit SoftMAC führen die Schwachstellen zur Kompromittierung des Systemkerns, während im Falle von FullMAC Code auf der Firmware-Seite ausgeführt werden kann. Im brcmfmac sind Pufferüberlauf und ein Fehler bei der Überprüfung der verarbeiteten Frames vorhanden, die durch das Senden von Steuerframes ausgenutzt werden. Im Linux-Kernel bestehen Probleme im Treiber brcmfmac. wurden behebt im Februar.

Festgestellte Schwachstellen:

• CVE-2019-9503 – Verhalten des Treibers brcmfmac bei der Verarbeitung von Steuerframes, die zur Interaktion mit der Firmware verwendet werden, ist fehlerhaft. Wenn ein Frame mit einem Firmware-Ereignis aus einer externen Quelle eintrifft, verwirft der Treiber diesen. Falls das Ereignis jedoch über den internen Bus empfangen wird, wird der Frame weitergeleitet. Das Problem ist, dass über den internen Bus Ereignisse von Geräten, die USB verwenden, übertragen werden, was es Angreifern ermöglicht, erfolgreich Steuerframes an die Firmware zu senden, wenn drahtlose Adapter mit USB-Schnittstelle verwendet werden;
• CVE-2019-9500 – durch Aktivierung der Funktion „Wake-up on Wireless LAN“ kann im Treiber brcmfmac (Funktion brcmf_wowl_nd_results) ein Heap-Überlauf ausgelöst werden, indem ein speziell modifizierter Steuerframe gesendet wird. Diese Schwachstelle kann zur Ausführung von Code im Hauptsystem nach der Kompromittierung des Chips oder in Kombination mit der Schwachstelle CVE-2019-9503 genutzt werden, um Prüfungen beim Remote-Senden eines Steuerframes zu umgehen;
• CVE-2019-9501 – Pufferüberlauf im Treiber wl (Funktion wlc_wpa_sup_eapol), der bei der Verarbeitung von Nachrichten auftritt, deren Herstellerfeld mehr als 32 Byte umfasst;
• CVE-2019-9502 – Pufferüberlauf im Treiber wl (Funktion wlc_wpa_plumb_gtk), der bei der Verarbeitung von Nachrichten auftritt, deren Herstellerfeld mehr als 164 Byte umfasst.

Quelle: opennet.ru