Eine Sicherheitsanfälligkeit in drahtlosen Zugangspunkten, die es ermöglicht, den Datenverkehr abzufangen.

Eine Gruppe von Forschern der Tsinghua-Universität (China) und der George Mason University (USA) hat Informationen über eine Schwachstelle (CVE-2022-25667) in drahtlosen Zugangspunkten veröffentlicht, die es ermöglicht, den Datenverkehr (MITM) in drahtlosen Netzwerken, die durch die Protokolle WPA, WPA2 und WPA3 geschützt sind, abzufangen. Durch die Manipulation von ICMP-Paketen mit dem „redirect“-Flag kann ein Angreifer erreichen, dass der Datenverkehr des Opfers innerhalb des drahtlosen Netzwerks über sein System umgeleitet wird, was zur Abfangung und Änderung unverschlüsselter Sitzungen (z. B. Anfragen an Webseiten ohne HTTPS) verwendet werden kann.

Die Schwachstelle wird durch das Fehlen einer ordnungsgemäßen Filterung gefälschter ICMP-Nachrichten mit einer gefälschten Absenderadresse (Spoofing) in den Netzwerkprozessoren (NPU, Network Processing Unit) verursacht, die die Low-Level-Paketverarbeitung im drahtlosen Netzwerk gewährleisten. Unter anderem leiteten NPUs gefälschte ICMP-Pakete mit dem „redirect“-Flag ohne Überprüfung auf Spoofing um, die dazu verwendet werden können, die Routing-Tabellen des Opfers zu ändern. Der Angriff besteht darin, ein ICMP-Paket im Namen des Zugangspunkts mit dem „redirect“-Flag und gefälschten Daten im Paket-Header zu senden. Aufgrund der Schwachstelle wird die Nachricht vom Zugangspunkt umgeleitet und vom Netzwerk-Stack des Opfers verarbeitet, der glaubt, dass die Nachricht vom Zugangspunkt gesendet wurde.

Zusätzlich haben die Forscher eine Methode vorgeschlagen, um die Überprüfungen von ICMP-Paketen mit dem „redirect“-Flag auf der Seite des Endbenutzers zu umgehen und seine Routing-Tabelle zu ändern. Um die Filterung zu umgehen, identifiziert der Angreifer zunächst einen aktiven UDP-Port auf der Seite des Opfers. In demselben drahtlosen Netzwerk kann der Angreifer den Datenverkehr abfangen, jedoch nicht entschlüsseln, da er den Sitzungsschlüssel, der beim Zugriff des Opfers auf den Zugangspunkt verwendet wird, nicht kennt. Dennoch kann der Angreifer, indem er dem Opfer Testpakete sendet, auf der Grundlage der Analyse der eingehenden ICMP-Antworten mit dem „Destination Unreachable“-Flag den aktiven UDP-Port bestimmen. Anschließend erstellt der Angreifer eine ICMP-Nachricht mit dem „redirect“-Flag und einem gefälschten UDP-Header, der den identifizierten offenen UDP-Port angibt. Die Verarbeitung dieser Nachricht führt zur Verzerrung der Routing-Tabelle im System des Opfers und zur Umleitung von Datenverkehr mit der Möglichkeit, diesen im Klartext auf der Datenlink-Schicht abzufangen.

Das Vorhandensein des Problems wurde bei Zugangspunkten bestätigt, die Chips von HiSilicon und Qualcomm verwenden. Eine Untersuchung von 55 verschiedenen Modellen von Zugangspunkten von 10 bekannten Herstellern (Cisco, NetGear, Xiaomi, Mercury, 360, Huawei, TP-Link, H3C, Tenda, Ruijie) hat gezeigt, dass alle anfällig für diese Schwachstelle sind und gefälschte ICMP-Pakete nicht blockieren. Darüber hinaus wurde bei der Analyse von 122 bestehenden WLAN-Netzen in 109 Netzen (89 %) die Möglichkeit eines Angriffs festgestellt.

Für die Ausnutzung von Schwachstellen muss der Angreifer die Möglichkeit haben, sich legitim mit dem WLAN-Netz zu verbinden, d. h. er muss die Zugangsdaten für das drahtlose Netzwerk kennen (die Schwachstellen ermöglichen es, die in den WPA*-Protokollen verwendeten Mechanismen zur Trennung des Benutzerverkehrs innerhalb des Netzwerks zu umgehen). Im Gegensatz zu herkömmlichen MITM-Angriffen auf drahtlose Netzwerke kann der Angreifer die Technik des Spoofings von ICMP-Paketen verwenden, ohne seine eigene gefälschte Zugangsstation zur Abfangung des Datenverkehrs einzurichten, und stattdessen legitime Zugangspunkte im Netzwerk nutzen, um speziell gestaltete ICMP-Pakete an das Opfer weiterzuleiten.