I ricercatori di Faraday Security hanno presentato alla conferenza DEFCON i dettagli di sfruttamento di una critica vulnerabilità (CVE-2022-27255) nel SDK per i chip Realtek RTL819x, che consente l'esecuzione di codice su un dispositivo tramite l'invio di un pacchetto UDP appositamente formattato. La vulnerabilità è notevole in quanto permette di attaccare i dispositivi in cui l'accesso all'interfaccia web è disabilitato per le reti esterne — è sufficiente inviare un solo pacchetto UDP.
La vulnerabilità interessa i dispositivi che utilizzano versioni vulnerabili del SDK Realtek, compresi eCos RSDK 1.5.7p1 e MSDK 4.9.4p1. Gli aggiornamenti del SDK eCos che risolvono la vulnerabilità sono stati pubblicati da Realtek il 25 marzo. Non è ancora chiaro quali dispositivi siano esposti al problema — il SoC Realtek RTL819x è utilizzato in router, punti di accesso, ripetitori Wi-Fi, telecamere IP, dispositivi IoT e altri dispositivi di rete di oltre 60 produttori, tra cui Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Smartlink, UPVEL, ZTE e Zyxel.
Sono già disponibili esempi di exploit per ottenere accesso remoto ai dispositivi e eseguire comandi, utilizzando l'attacco al router Nexxt Nebula 300 Plus come esempio. Sono inoltre pubblicati strumenti per analizzare i firmware alla ricerca di vulnerabilità.
Considerando i problemi di preparazione e consegna e gli aggiornamenti dei firmware per i dispositivi già rilasciati, si prevede che presto appaiano attacchi automatizzati e worm che colpiranno i dispositivi di rete vulnerabili. Dopo un attacco riuscito, i dispositivi compromessi possono essere utilizzati da malintenzionati, ad esempio, per formare botnet, introdurre backdoor per lasciare una via d'accesso alla rete interna dell'azienda, intercettare il traffico di transito o reindirizzarlo su un host esterno.
La vulnerabilità è causata da un overflow del buffer nel modulo "SIP ALG" (SIP Application Layer Gateway), utilizzato per gestire il forwarding dei pacchetti SIP dietro un traduttore di indirizzi. Il problema è derivato dalla mancanza di verifica della dimensione effettiva dei dati ricevuti, il che porta a sovrascrivere un'area di memoria oltre il buffer fisso durante la chiamata della funzione strcpy durante l'elaborazione dei pacchetti SIP. Un attacco può essere effettuato inviando un pacchetto UDP con valori non corretti nei campi del blocco dati SDP o nell'intestazione del protocollo SIP. Per sfruttare la vulnerabilità è sufficiente inviare un pacchetto a un qualsiasi porto UDP dell'interfaccia WAN.
Come misura protettiva, si raccomanda di bloccare nel firewall o nel sistema di prevenzione delle intrusioni i pacchetti UDP con messaggi SIP "INVITE", contenenti la stringa "m=audio" e una dimensione superiore a 128 byte. Ecco un esempio di regola per rilevare tentativi di sfruttamento in IDS Snort 3: alert udp any any -> any any (sid:1000000; \ msg:"Realtek eCOS SDK SIP Traffic Exploit CVE-2022-27255"; \ content:"invite"; depth:6; nocase; \ content: "m=audio "; \ isdataat: 128,relative; content:!"|0d|"; within: 128;)
Fonte: opennet.ru
