Haavatavus traadita pääsupuntides, mis võimaldab liikluse pealtkuulamist

Rühm teadlasi Tsinghua ülikoolist (Hiina) ja George Masoni ülikoolist (USA) avaldas teavet haavatavuse (CVE-2022-25667) kohta traadita pääsupunktides, mis võimaldab teostada liikluse pealtkuulamist (MITM) traadita võrkudes, mis on kaitstud WPA, WPA2 ja WPA3 protokollidega. Rünnak, millega manipuleeritakse ICMP-pakettide «redirect» lipuga, võimaldab sissetungijal suunata ohvri liiklust traadita võrgus läbi oma süsteemi, mis võib olla kasutatud, et pealt kuulata ja asendada krüpteerimata sessioone (nt päringud HTTPS-ita veebilehtedele).

Haavatavus tuleneb vale ICMP-sõnumite sobimatu filtreerimise puudumisest, mille saatja aadress on varjatud (spoofing) võrgu töötlemisseadmetes (NPU, Network Processing Unit), mis tagavad madala taseme pakettide töötlemise traadita võrgus. Nende seas suunas NPU kontrollimata spoofingu korral vale ICMP-pakke, millel oli 'redirect' lipp, mida saab kasutada kasutaja ohvri marsruutimistabelite seadete muutmiseks. Rünnak seisneb ICMP-paketis, mis saadetakse pääsupunkti nimel 'redirect' lipuga, mis näitab valeandmeid paketi pealkirjas. Haavatavuse tõttu suunatakse sõnum pääsupunkti kaudu edasi ja töödeldakse ohvri võrgu kihis, kes usub, et sõnum on saadetud pääsupunkti poolt.

Teadlased on välja pakkunud meetodi ICMP-pakettide „redirect” kontrollide ümbersuunamiseks lõppkasutaja poole ja tema marsruudiga tabeli muutmiseks. Ründe korraldamiseks määrab ründaja eelnevalt ohvri aktiivse UDP-pordi. Olemas olles samas traadita võrgus, suudab ründaja liiklust pealt kuulata, kuid ei saa seda krüpteerida, kuna ei tunne istungivõtit, mida ohver kasutab juurdepääsupunktile ühenduse loomiseks. Siiski, saates ohvrile kontrollpakette, suudab ründaja, analüüsides saabunud ICMP-vastuseid, kus on silt „Destination Unreachable”, määrata aktiivse UDP-pordi. Edasi ründaja koostab ICMP-sõnumi „redirect” sildiga ja vale UDP-pealkirjaga, milles on näidatud tuvastatud avatud UDP-pord. Selle sõnumi töötlemine toob kaasa marsruuditabeli moonutamise ohvri süsteemis ja liikluse suunamise, mille kaudu saab seda pealt kuulata avatud kujul kanali tasandil.

Probleemi olemasolu on kinnitatud juurdepääsupunktides, mis kasutavad HiSiliconi ja Qualcommi tootmisprotsesside kiipe. 55 erineva juurdepääsupunkti mudeli uuring 10 tuntud tootjalt (Cisco, NetGear, Xiaomi, Mercury, 360, Huawei, TP-Link, H3C, Tenda, Ruijie) näitas, et kõik need on haavatavad ja ei blokeeri vale ICMP pakette. Lisaks näitas 122 olemasoleva traadita võrgu analüüs, et rünnakute võimalus on 109 võrgus (89%).

Rünnakuks haavatavuste ärakasutamiseks peab ründaja saama seaduslikult ühenduda Wi-Fi võrguga, st ta peab teadma traadita võrgu sisselogimisparameetreid (haavatavused võimaldavad vältida WPA* protokollides rakendatavaid kasutajate liikluse eraldamise mehhanisme). Erinevalt traditsioonilisest MITM-rünnakust traadita võrkudele, saab ründaja ICMP-pakettide valeidentifitseerimise tehnikat kasutades hakkama ilma, et tal oleks vaja oma vale juurdepääsupunkti seadistada, et liiklust peatada, ja ta saab kasutada olemasolevaid seaduslikke juurdepääsupunkte pakkumise ümber suunamiseks ohvrile spetsiaalselt vormindatud ICMP-pakette.