Dans les pilotes pour les puces sans fil Broadcom quatre . Dans les cas les plus simples, les vulnérabilités peuvent être exploitées pour déclencher un déni de service à distance, mais des scénarios dans lesquels des exploits pourraient être développés, permettant à un attaquant non authentifié d'exécuter son code avec des privilèges noyau Linux par l'envoi de paquets spécialement conçus, ne sont pas exclus.
Les problèmes ont été identifiés lors de l'ingénierie inverse des firmwares de Broadcom. Les puces vulnérables sont largement utilisées dans les ordinateurs portables, les smartphones et divers appareils grand public, des SmartTV aux appareils de l'Internet des objets. En particulier, les puces Broadcom sont utilisées dans les smartphones de fabricants tels qu'Apple, Samsung et Huawei. Il est à noter que la société Broadcom a été informée des vulnérabilités dès septembre 2018, mais il a fallu environ 7 mois pour publier des correctifs en coordination avec les fabricants de matériel.
Deux vulnérabilités affectent les firmwares internes et permettent potentiellement d'exécuter du code dans l'environnement du système d'exploitation utilisé dans les puces Broadcom, ce qui permet d'attaquer des environnements qui n'utilisent pas Linux (par exemple, la possibilité d'attaquer des appareils Apple est confirmée, ). Rappelons que certaines puces Wi-Fi Broadcom sont des processeurs spécialisés (ARM Cortex R4 ou M3), sur lesquels s'exécute une sorte de système d'exploitation avec la mise en œuvre de leur propre pile sans fil 802.11 (FullMAC). Dans de telles puces, le pilote permet l'interaction entre le système principal et le firmware de la puce Wi-Fi. Pour obtenir un contrôle total sur le système principal après une compromission de FullMAC, il est proposé d'utiliser des vulnérabilités supplémentaires ou, sur certaines puces, d'exploiter l'accès complet à la mémoire système. Dans les puces avec SoftMAC, la pile sans fil 802.11 est mise en œuvre du côté du pilote et s'exécute à l'aide du CPU système.
Les vulnérabilités dans les pilotes se manifestent à la fois dans le pilote propriétaire wl (SoftMAC et FullMAC) et dans le brcmfmac open source (FullMAC). Dans le pilote wl, deux débordements de mémoire tampon ont été identifiés, exploités lors de la transmission par points d'accès de messages EAPOL spécialement formatés lors de l'établissement de la connexion (une attaque peut être réalisée lors de la connexion à un point d'accès malveillant). Pour la puce avec SoftMAC, les vulnérabilités compromettent le noyau du système, tandis que dans le cas du FullMAC, le code peut être exécuté au niveau du firmware. Dans le brcmfmac, il y a un débordement de mémoire tampon et une erreur de vérification des trames traitées, exploitées via l'envoi de trames de contrôle. Dans le noyau Linux, des problèmes dans le pilote brcmfmac. en février.
Vulnérabilités identifiées :
- CVE-2019-9503 - comportement incorrect du pilote brcmfmac lors du traitement des trames de contrôle utilisées pour interagir avec le firmware. Si une trame d'événement du firmware provient d'une source externe, le pilote l'ignore, mais si l'événement est reçu par le bus interne, la trame est acceptée. Le problème est qu'événements provenant d'appareils utilisant USB passent par le bus interne, permettant aux attaquants de transmettre avec succès des trames de contrôle du firmware dans le cas de l'utilisation d'adaptateurs sans fil avec interface USB.
- CVE-2019-9500 - lors de l'activation de la fonction « Wake-up on Wireless LAN », un débordement de tas peut être déclenché dans le pilote brcmfmac (fonction brcmf_wowl_nd_results) en envoyant une trame de contrôle spécialement modifiée. Cette vulnérabilité peut être utilisée pour provoquer l'exécution de code dans le système principal après la compromission de la puce ou en combinaison avec la vulnérabilité CVE-2019-9503 pour contourner les vérifications lors de l'envoi à distance d'une trame de contrôle.
- CVE-2019-9501 - débordement de mémoire tampon dans le pilote wl (fonction wlc_wpa_sup_eapol), survenant lors du traitement de messages dont le contenu du champ d'informations du fabricant dépasse 32 octets.
- CVE-2019-9502 - débordement de mémoire tampon dans le pilote wl (fonction wlc_wpa_plumb_gtk), survenant lors du traitement de messages dont le contenu du champ d'informations du fabricant dépasse 164 octets.
Source : opennet.ru
