A research group from Tsinghua University (China) and George Mason University (USA) has revealed information about a vulnerability (CVE-2022-25667) in wireless access points that allows for man-in-the-middle traffic interception in wireless networks secured with WPA, WPA2, and WPA3 protocols. By manipulating ICMP packets with the 'redirect' flag, an attacker can redirect a victim's traffic within the wireless network through their system, which could be used to intercept and replace unencrypted sessions (for example, requests to non-HTTPS sites).
The vulnerability is caused by insufficient filtering of spoofed ICMP messages with a modified sender address in network processors (NPU, Network Processing Unit), which provide low-level packet processing in the wireless network. Among other things, NPUs redirected spoofed ICMP packets with the 'redirect' flag without checking for spoofing, which can be used to alter the routing tables on the victim's side. The attack involves sending an ICMP packet on behalf of the access point with the 'redirect' flag, specifying spoofed data in the packet header. Due to the vulnerability, the message is redirected by the access point and processed by the victim's network stack, which assumes that the message was sent by the access point.
Additionally, the researchers proposed a method to bypass the checks for ICMP packets with the 'redirect' flag on the end-user side and modify their routing table. To bypass filtering, the attacker first identifies an active UDP port on the victim's side. While on the same wireless network, the attacker can intercept traffic but cannot decrypt it since they do not know the session key used during the victim's connection to the access point. However, by sending the victim probe packets, the attacker can identify the active UDP port based on the analysis of incoming ICMP responses with the 'Destination Unreachable' flag. Subsequently, the attacker constructs an ICMP message with the 'redirect' flag and a fake UDP header, indicating the identified open UDP port. Processing this message leads to the corruption of the routing table in the victim's system and allows traffic to be redirected with the possibility of interception in clear text at the link layer.
A probléma jelenléte megerősítést nyert a HiSilicon és Qualcomm gyártmányú chipet használó hozzáférési pontokban. 55 különböző hozzáférési pont modell vizsgálata 10 ismert gyártótól (Cisco, NetGear, Xiaomi, Mercury, 360, Huawei, TP-Link, H3C, Tenda, Ruijie) azt mutatta, hogy mindegyikük sebezhető, és nem blokkolja a hamis ICMP-csomagokat. Továbbá, 122 meglévő vezeték nélküli hálózat elemzése során 109 hálózatban (89%) is lehetőséget találtak támadás végrehajtására.
A sebezhetőségek kihasználásához a támadónak jogosult csatlakozási lehetőséggel kell rendelkeznie a Wi-Fi hálózathoz, azaz ismernie kell a vezeték nélküli hálózat belépési paramétereit (a sebezhetőségek lehetővé teszik a WPA* protokollokban alkalmazott felhasználói forgalom elválasztó mechanizmusok megkerülését). A hagyományos MITM-támadásokkal ellentétben a vezeték nélküli hálózatokban, az ICMP-csomagok hamisítása alkalmazásával a támadó anélkül is megkerülheti a hamis hozzáférési pont telepítését, hogy a forgalom eltérítésére a hálózat legális hozzáférési pontjait használná, és a célnak megfelelően módosított ICMP-csomagokat irányítana át.
Forrás: opennet.ru
