Vulnérabilité dans les appareils basés sur SoC Realtek, permettant l'exécution de code via l'envoi d'un paquet UDP.

Des chercheurs de Faraday Security ont présenté lors de la conférence DEFCON les détails de l'exploitation d'une vulnérabilité critique (CVE-2022-27255) dans le SDK des puces Realtek RTL819x, permettant d'exécuter son propre code sur l'appareil en envoyant un paquet UDP spécialement formaté. Cette vulnérabilité est notable car elle permet d'attaquer des appareils pour lesquels l'accès à l'interface web est désactivé pour les réseaux externes — il suffit d'envoyer un seul paquet UDP pour mener l'attaque.

La vulnérabilité concerne les dispositifs utilisant des versions vulnérables du SDK Realtek, notamment eCos RSDK 1.5.7p1 et MSDK 4.9.4p1. Des mises à jour du SDK eCos corrigeant la vulnérabilité ont été publiées par Realtek le 25 mars. Il n'est pas encore clair quels dispositifs sont précisément touchés — le SoC Realtek RTL819x est utilisé dans des routeurs réseau, des points d'accès, des amplificateurs Wi-Fi, des caméras IP, des dispositifs IoT et d'autres équipements réseau de plus de 60 fabricants, y compris Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Smartlink, UPVEL, ZTE et Zyxel.

Des exemples d'exploits pour obtenir un accès à distance à l'appareil et exécuter ses propres commandes, basés sur une attaque contre le routeur Nexxt Nebula 300 Plus, ont déjà été publiés en accès libre. Des utilitaires pour analyser les firmwares à la recherche de vulnérabilités ont également été publiés.

Étant donné les problèmes de préparation et de livraison ainsi que les mises à jour des firmwares pour les dispositifs déjà sortis, on s'attend à voir d'ici peu des attaques automatisées et des vers infectant des appareils réseau vulnérables. Après une attaque réussie, les appareils compromis pourraient être utilisés par des attaquants, par exemple pour former des botnets, implanter des portes dérobées permettant de laisser une faille dans le réseau interne de l'entreprise, intercepter le trafic en transit ou le rediriger vers un hôte externe.

La vulnérabilité est causée par un dépassement de tampon dans le module « SIP ALG » (SIP Application Layer Gateway), utilisé pour l'acheminement des paquets SIP derrière un traducteur d'adresses. Le problème est survenu en raison de l'absence de vérification de la taille réelle des données reçues, ce qui entraîne l'écriture dans la mémoire au-delà du tampon fixe lors de l'appel de la fonction strcpy pendant le traitement des paquets SIP. Une attaque peut être effectuée en envoyant un paquet UDP avec des valeurs incorrectes dans les champs du bloc de données SDP ou dans l'en-tête du protocole SIP. Il suffit d'envoyer un seul paquet à un port UDP arbitraire de l'interface WAN.

En guise de solution de contournement, il est conseillé de bloquer au niveau du pare-feu ou du système de prévention des intrusions les paquets UDP avec un message SIP « INVITE », une ligne « m=audio » et une taille supérieure à 128 octets. Exemple de règle pour détecter les tentatives d'exploitation dans l'IDS Snort 3 : alert udp any any -> any any (sid:1000000; \ msg:« Exploit de trafic SIP eCOS SDK Realtek CVE-2022-27255 »; \ content:« invite »; depth: 6; nocase; \ content:« m=audio »; \ isdataat: 128,relative; content:!« |0d| »; within: 128;)

Source : opennet.ru