En los controladores para los chips inalámbricos de Broadcom cuatro . En el caso más simple, las vulnerabilidades pueden ser utilizadas para provocar un ataque de denegación de servicio remoto, pero existen escenarios en los que pueden desarrollarse exploits que permiten a un atacante no autenticado ejecutar su código con privilegios del núcleo de Linux al enviar paquetes especialmente formateados.
Los problemas se identificaron durante el análisis inverso de los firmware de Broadcom. Los chips afectados son ampliamente utilizados en laptops, smartphones y diversos dispositivos de consumo, desde SmartTV hasta dispositivos del Internet de las cosas. En particular, los chips de Broadcom se utilizan en smartphones de fabricantes como Apple, Samsung y Huawei. Cabe destacar que la empresa Broadcom fue notificada sobre las vulnerabilidades ya en septiembre de 2018, pero se necesitó alrededor de 7 meses para la liberación coordinada de parches por parte de los fabricantes de hardware.
Dos vulnerabilidades afectan los firmware internos y potencialmente permiten la ejecución de código en el entorno del sistema operativo utilizado en los chips de Broadcom, lo que permite atacar entornos que no utilizan Linux (por ejemplo, se ha confirmado la posibilidad de un ataque a dispositivos de Apple, ). Cabe recordar que algunos chips Wi-Fi de Broadcom son un procesador especializado (ARM Cortex R4 o M3), en el que se ejecuta una especie de sistema operativo con una implementación de su propio stack inalámbrico 802.11 (FullMAC). En estos chips, el controlador asegura la interacción del sistema principal con el firmware del chip Wi-Fi. Para obtener control total sobre el sistema principal tras comprometer el FullMAC, se sugiere utilizar vulnerabilidades adicionales o, en algunos chips, aprovechar el acceso completo a la memoria del sistema. En chips con SoftMAC, el stack inalámbrico 802.11 se implementa en el lado del controlador y se ejecuta utilizando el CPU del sistema.
Las vulnerabilidades en los controladores se manifiestan tanto en el controlador propietario wl (SoftMAC y FullMAC) como en el abierto brcmfmac (FullMAC). En el controlador wl se han identificado dos desbordamientos de búfer, que son aprovechados al enviar mensajes EAPOL diseñados específicamente durante el proceso de establecimiento de la conexión (el ataque puede llevarse a cabo al conectarse a un punto de acceso malicioso). En el caso del chip con SoftMAC, las vulnerabilidades conducen a la compromisión del núcleo del sistema, mientras que en el caso de FullMAC el código puede ejecutarse en la parte del firmware. En brcmfmac hay un desbordamiento de búfer y un error de verificación en los cuadros procesados, que son explotados mediante el envío de cuadros de control. En el núcleo de Linux hay problemas en el controlador brcmfmac. en febrero.
Vulnerabilidades detectadas:
- CVE-2019-9503 — comportamiento incorrecto del controlador brcmfmac al procesar los cuadros de control utilizados para interactuar con el firmware. Si un cuadro de evento del firmware proviene de una fuente externa, el controlador lo descarta, pero si el evento se recibe a través del bus interno, el cuadro se permite. El problema es que el bus interno transmite eventos de dispositivos que utilizan USB, lo que permite a los atacantes enviar con éxito cuadros de control del firmware en el caso de adaptadores inalámbricos con interfaz USB;
- CVE-2019-9500 — al habilitar la función "Wake-up on Wireless LAN" se puede provocar un desbordamiento de pila en el controlador brcmfmac (función brcmf_wowl_nd_results) al enviar un cuadro de control especialmente modificado. Esta vulnerabilidad puede ser utilizada para ejecutar código en el sistema principal tras la compromisión del chip o en combinación con la vulnerabilidad CVE-2019-9503 para eludir las verificaciones en caso de envío remoto de un cuadro de control;
- CVE-2019-9501 — desbordamiento de búfer en el controlador wl (función wlc_wpa_sup_eapol), que ocurre al procesar mensajes en los cuales el contenido del campo de información del fabricante supera los 32 bytes;
- CVE-2019-9502 — desbordamiento de búfer en el controlador wl (función wlc_wpa_plumb_gtk), que ocurre al procesar mensajes en los cuales el contenido del campo de información del fabricante supera los 164 bytes.
Fuente: opennet.ru
