Haavatavus traadita juurdepääsupunktides, mis võimaldab liikluse pealtkuulamist

Rühm teadlasi Tsinghua ülikoolist (Hiina) ja George Masoni ülikoolist (USA) on avalikustanud teabe haavatavuse (CVE-2022-25667) kohta traadita juurdepääsupunktides, mis võimaldab liikluse pealtkuulamist (MITM) traadita võrkudes, mis on kaitstud WPA, WPA2 ja WPA3 protokollide abil. Manipuleerides ICMP-pakettidega, millel on 'redirect' lipp, saab ründaja sundida ohvri liiklust suunama oma süsteemi, mida saab kasutada krüpteerimata seansside (näiteks HTTPS-ita veebilehtedele tehtud päringute) pealtkuulamiseks ja asendamiseks.

Haavatavus tuleneb nõrgast vale ICMP- sõnumite filtreerimisest, mille saatja aadress on vale (spoofing) võrguprotsessorites (NPU, Network Processing Unit), mis tagavad madala taseme pakettide töötlemise traadita võrgus. NPU, muu hulgas, suunas kontrollimata spoofimise allika vale ICMP-pakette 'redirect' lipuga, mida saab kasutada ohvri masina marsruudistustabeli parameetrite muutmiseks. Rünnak seisneb ICMP-paketi saatmises juurdepääsupunkti poolt 'redirect' lipuga, näidates valeandmeid paketi päises. Haavatavuse tõttu suunatakse sõnum juurdepääsupunkti kaudu ja töödeldakse ohvri võrguauke, kes arvab, et sõnum on saadetud juurdepääsupunkti poolt.

Lisaks on teadlaste poolt välja pakutud meetod ICMP-pakettide kontrollimistest mööda hiilimiseks, millel on lipp "redirect", lõppkasutaja poolel, ja selle maršruutimistabeli muutmiseks. Filtratsiooni mööda hiilimiseks määrab ründaja eelnevalt sihtmärgi aktiivse UDP-pordi. Samas traadita võrgus võib ründaja liiklust katkestada, kuid ei saa seda dekrüpteerida, kuna ta ei tea seansi võtit, mida sihtmärk kasutab juurdepääsuks juurdepääsupunktile. Sellegipoolest, saatmise ajal sihtmärgile kontrollpakette, võib ründaja lähtudes ICMP-vastuste analüüsist, kus on lipp "Destination Unreachable", määrata aktiivse UDP-pordi. Edasi, ründaja koostab ICMP-sõnumi, millel on lipp "redirect" ja vale UDP-pea, kus on näidatud tuvastatud avatud UDP-port. Selle sõnumi töötlemine toob kaasa maršruutimistabeli moonutamise sihtmärgisüsteemis ja suunab liikluse avatud kujul katkestamiseks kanalitasemel.

Probleemi olemasolu on kinnitatud juurdepääsupunktides, mis kasutavad HiSiliconi ja Qualcommi tootmisest pärit kiipe. 55 erineva juurdepääsupunkti mudeli uurimine 10 tuntud tootjatelt (Cisco, NetGear, Xiaomi, Mercury, 360, Huawei, TP-Link, H3C, Tenda, Ruijie) näitas, et kõik need on haavatavad ja ei blokeeri vale ICMP-pakette. Lisaks, analüüsides 122 olemasolevat traadita võrku, tuvastati rünnaku võimalus 109 võrgus (89%).

Haavatavuste ärakasutamiseks peab ründaja olema võimeline seaduslikult Wi-Fi võrku ühenduma, st peab teadma traadita võrgu sisselogimisparameetreid (haavatavused võimaldavad mööda minna WPA* protokollides kehtestatud kasutajate liikluse eraldusmehhanismidest). Erinevalt traditsioonilistest MITM-rünnakutest traadita võrkudes, kasutades ICMP-pakettide vale esitlemise tehnikat, saab ründaja teha ilma oma vale juurdepääsupunkti käitamiseta liikluse katkestamiseks ja kasutada võrgu teenindavaid seaduslikke juurdepääsupunkte, et edastada sihtmärgile spetsiaalselt väljatöötatud ICMP-pakette.