Realtek SDK komponentides, mida erinevad tootjad kasutavad oma juhtmeteta seadmete tarkvaras, on tuvastatud neli haavatavust, mis võimaldavad autoriseerimata ründajal kaugelt käivitada koodi seadmes, mis on kõrgendatud õigustega. Esialgsete hinnangute kohaselt mõjutavad probleemid vähemalt 200 seadme mudelit 65 erinevalt tarnijalt, sealhulgas erinevaid juhtmeteta ruutereid nagu Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE ja Zyxel.
Probleem hõlmab erinevaid juhtmeteta seadmeklasse, mis kasutavad SoC RTL8xxx, alates juhtmeteta ruuteritest ja Wi-Fi võimendajatest kuni IP-kaamerate ja nutikate seadmeteni, mis haldavad valgustust. RTL8xxx kiipide baasil seadmetes kasutatakse arhitektuuri, mis eeldab kahe SoC paigaldamist: esimesel on tootja Linuxil põhinev tarkvara ja teisel töötab eraldi kärbitud Linuxi keskkond juurdepääsupunkti funktsioonide elluviimiseks. Teise keskkonna sisu põhineb standardsetel komponentidel, mida Realtek pakub SDK-s. Need komponendid töötlevad ka andmeid, mis saadakse väliste päringute saatmise tulemusena.
Haavatavused mõjutavad tooteid, kus kasutatakse Realtek SDK v2.x, Realtek „Jungle” SDK v3.0-3.4 ja Realtek „Luna” SDK versioonides, mis on alla 1.3.2. Parandus on juba välja antud Realtek „Luna” SDK 1.3.2a värskenduses ning Realtek „Jungle” SDK jaoks valmistatakse ette plaane. Realtek SDK 2.x jaoks ei kavatseta parandusi välja anda, kuna selle versiooni toimetamine on juba lõpetatud. Kõigile haavatavustele on antud töökohased ekspLootide prototüübid, mis lubavad saavutada oma koodi käivitamise seadmes.
Tuvastatud haavatavused (kaks esimest on määratud ohutasemega 8.1, teised aga 9.8):
- CVE-2021-35392 — puhverserveri ületäitumine mini_upnpd ja wscd protsessides, mis rakendavad funktsionaalsust „WiFi Simple Config” (mini_upnpd tegeleb SSDP pakettide töötlemisega, samas kui wscd toetab SSDP-d ja tegeleb HTTP protokolli põhjal UPnP päringute teenindamisega). Ründaja saab käivitada enda koodi, saates spetsiaalselt vormistatud UPnP päringud „SUBSCRIBE”, mille portide arvu väli on liiga suur. SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — haavatavus „WiFi Simple Config“ käitlejates, mis avaldub SSDP protokolli kasutamisel (kasutades UDP-d ja HTTP-sarnast päringu formaati). Probleem tuleneb fikseeritud 512-baidise puhveri kasutamisest „ST:upnp“ parameetri töötlemisel M-SEARCH sõnumites, mille saadavad kliendid teenuste olemasolu tuvastamiseks.
- CVE-2021-35394 — haavatavus MP Daemon protsessis, mis vastutab diagnostikategevuste (ping, traceroute) teostamise eest. Probleem võimaldab käivitada enda käske nõrkade argumentide kontrollide tõttu väliste utiliitide käitamisel.
- CVE-2021-35395 — haavatuste sari HTTP-serverite /bin/webs ja /bin/boa veebiliidestes. Mõlemas tuvastati tüüpilised haavatavused, mis on põhjustatud argumentide kontrollimise puudumisest enne väliste utiliitide käivitamist funktsiooni system() kaudu. Erinevused piirdusid rünnakute jaoks erinevate API-de kasutamisega. Mõlemad käitlejad ei sisaldanud kaitset CSRF-rünnakute ja DNS rebinding tehnikate eest, mis võimaldavad välise võrgu päringute saatmist ajal, kui juurdepääs liidesele on piiratud ainult sisemise võrguga. Protsessides kasutati samuti vaikimisi eeldefineeritud superviisori kontot. Lisaks tuvastati käitlejates mitu virnastamist, mis ilmnevad liiga suurte argumentide saatmisel. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>\/tmp\/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin= serverites выявлены типовые уязвимости, вызванные отсутствием проверки аргументов перед запуском внешних утилит функцией system(). Отличия сводятся только к использованию для атаки разных API. Оба обработчика не включали защиту от атаки CSRF и техники «DNS rebinding», позволяющей организовать отправку запросов из внешней сети при ограничении доступа к интерфейсу только для внутренней сети. В процессах также по умолчанию использовалась предопределённая учётная запись supervisor/supervisor. Кроме того, в обработчиках выявлено несколько переполнений стека, проявляющихся при отправке аргументов слишком большого размера. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=%2Fwlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Realtek SDK komponentides, mida kasutavad erinevad tootjad oma traadita seadmete tarkvarades, tuvastati neli haavatavust, mis võimaldavad autentimata ründajal kaugelt koodi käitada.
Allikas: opennet.ru
