ʻO nā mea noiʻi mai Eset ʻano hou (CVE-2020-3702) o ka nāwaliwali , pili i nā pahu uila Qualcomm a me MediaTek. Like , ka mea i hoʻopilikia i nā kīkī Cypress a me Broadcom, hiki i ka nāwaliwali hou ke hoʻokaʻawale iā ʻoe i ke kaʻa Wi-Fi intercepted i pale ʻia me ka protocol WPA2.
E hoʻomanaʻo kākou ʻo ka vulnerability Kr00k ke kumu o ka hana hewa ʻana o nā kī hoʻopunipuni i ka wā i hoʻokaʻawale ʻia (dissociated) mai ka wahi komo. Ma ka mana mua o ka vulnerability, ma ka wehe ʻana, ua hoʻonohonoho hou ʻia ke kī session (PTK) i mālama ʻia i ka hoʻomanaʻo o ka chip, no ka mea, ʻaʻohe ʻikepili hou e hoʻouna ʻia i ke kau o kēia manawa. I kēia hihia, ua hoʻopili ʻia ka ʻikepili i koe i ka buffer transmission (TX) me kahi kī i hoʻomaʻemaʻe ʻia me nā zeros wale nō a, no laila, hiki ke maʻalahi i ka decrypted i ka wā interception. Pili wale ke kī hakahaka i ke koena ʻikepili i loko o ka buffer, he mau kilobytes ka nui.
ʻO ka ʻokoʻa koʻikoʻi ma waena o ka lua o ka nāwaliwali, i ʻike ʻia ma Qualcomm a me MediaTek chips, ʻo ia ma kahi o ka hoʻopili ʻia ʻana me kahi kī kī ʻole, ua hoʻouna ʻia ka ʻikepili ma hope o ka dissociation me ka ʻole o ka hoʻopili ʻana, ʻoiai ke hoʻonohonoho ʻia nā hae hoʻopunipuni. ʻO nā mea i hoʻāʻo ʻia no nā nāwaliwali e pili ana i nā chips Qualcomm, ua ʻike ʻia ka D-Link DCH-G020 Smart Home Hub a me kahi alalai wehe. . ʻO nā hāmeʻa e pili ana i nā chips MediaTek, ua hoʻāʻo ʻia ka ASUS RT-AC52U router a me IoT solutions e pili ana iā Microsoft Azure Sphere me ka hoʻohana ʻana i ka microcontroller MediaTek MT3620.
No ka hoʻohana ʻana i nā ʻano haʻahaʻa ʻelua, hiki i ka mea hoʻouka ke hoʻouna i nā papa mana kūikawā e hoʻokaʻawale a hoʻopaʻa i ka ʻikepili i hoʻouna ʻia ma hope. Hoʻohana mau ʻia ka hoʻokaʻawale ʻana i nā ʻupena uʻi e hoʻololi mai kahi wahi komo i kahi ʻē aʻe i ka wā e holoholo ana a i ʻole i ka wā i nalowale ai ke kamaʻilio ʻana me ka wahi hiki i kēia manawa. Hiki ke hoʻokaʻawale ʻia ma ka hoʻouna ʻana i kahi mana mana, i hoʻouna ʻia me ka ʻole i hoʻopili ʻia a ʻaʻole koi i ka hōʻoia (pono wale ka mea hoʻouka i kahi hōʻailona Wi-Fi, akā ʻaʻole pono e hoʻopili ʻia i kahi pūnaewele uea). Hiki ke hoʻouka ʻia i ka wā e komo ai ka mea kūʻai aku i kahi wahi hiki ʻole ke komo, a i ka wā e komo ai kahi mea i hoʻopilikia ʻole ʻia i kahi wahi e hōʻike ai i kahi nāwaliwali.
Hoʻopili ka vulnerability i ka hoʻopili ʻana ma ka pae ʻenehana uila a hiki iā ʻoe ke nānā i nā pilina paʻa ʻole i hoʻokumu ʻia e ka mea hoʻohana (no ka laʻana, DNS, HTTP a me ka leka uila), akā ʻaʻole ia e ʻae iā ʻoe e hoʻololi i nā pilina me ka hoʻopili ʻana ma ka pae noi (HTTPS, SSH, STARTTLS, DNS ma luna o TLS, VPN a pēlā aku). Hoʻemi ʻia ka pōʻino o kahi hoʻouka ʻana ma ka ʻoiaʻiʻo i ka manawa hiki i ka mea hoʻouka ke hoʻokaʻawale i kekahi mau kilobytes o ka ʻikepili i loko o ka pahu hoʻouna i ka manawa o ka wehe ʻana. No ka hoʻopaʻa pono ʻana i ka ʻikepili huna i hoʻouna ʻia ma luna o kahi pilina paʻa ʻole, pono i ka mea hoʻouka ke ʻike pololei i ka wā i hoʻouna ʻia ai, a i ʻole e hoʻomaka mau i kahi ʻoki ʻana mai ka wahi komo, e ʻike ʻia i ka mea hoʻohana ma muli o ka hoʻomaka mau ʻana o ka pilina uea.
Ua hoʻopaʻa ʻia ka pilikia ma ka hōʻano hou o Iulai o nā mea hoʻokele waiwai no nā chips Qualcomm a i ka hoʻolaha ʻana o ʻApelila o nā mea hoʻokele no nā chips MediaTek. Ua hoʻoholo ʻia kahi hoʻoponopono no MT3620 i Iulai. ʻO nā mea noiʻi i ʻike i ka pilikia ʻaʻohe ʻike e pili ana i ka hoʻopili ʻana i nā hoʻoponopono i ka mea hoʻokele ath9k manuahi. No ka hoʻāʻo ʻana i nā mea hana no ka ʻike ʻana i nā nāwaliwali ʻelua ma ka ʻōlelo Python.
Eia hou, hiki ke ʻike ʻia Ua ʻike nā mea noiʻi mai Checkpoint i ʻeono mau nāwaliwali i nā chips Qualcomm DSP, i hoʻohana ʻia ma 40% o nā smartphones, me nā polokalamu mai Google, Samsung, LG, Xiaomi a me OnePlus. ʻAʻole e hāʻawi ʻia nā kikoʻī e pili ana i nā nāwaliwali a hiki i ka hoʻoholo ʻana o nā pilikia e nā mea hana. No ka mea he "pahu ʻeleʻele" ka pahu DSP ʻaʻole hiki ke hoʻomalu ʻia e ka mea hana kelepona, lōʻihi paha ka hoʻoponopono ʻana a pono e hui pū me ka mea hana chip DSP.
Hoʻohana ʻia nā chips DSP i nā smartphones hou e hana i nā hana e like me ka leo, ke kiʻi a me ka hoʻoili wikiō, i ka hoʻopili ʻana i nā ʻōnaehana ʻoiaʻiʻo i hoʻonui ʻia, ʻike kamepiula a me ke aʻo ʻana i ka mīkini, a me ka hoʻokō ʻana i ke ʻano hoʻopiʻi wikiwiki. Ma waena o nā hoʻouka ʻana i ʻae ʻia e nā nāwaliwali i ʻike ʻia: Bypassing the access control system - undetected capture of data like photos, videos, call recordings, data from a microphone, GPS, etc. Hōʻole i ka lawelawe - ke ālai ʻana i ke komo ʻana i nā ʻike i mālama ʻia. Hūnā hana ʻino - hana i nā mea ʻino ʻole a ʻike ʻole ʻia.
Source: opennet.ru