Un gruppo di ricercatori delle università di Tsinghua (Cina) e George Mason (USA) ha rivelato una vulnerabilità (CVE-2022-25667) negli access point wireless, che consente di organizzare un attacco di intercettazione del traffico (MITM) nelle reti wireless protette tramite i protocolli WPA, WPA2 e WPA3. Attraverso la manipolazione dei pacchetti ICMP con il flag 'redirect', un attaccante può reindirizzare il traffico della vittima all'interno della rete wireless attraverso il proprio sistema, il che può essere utilizzato per intercettare e sostituire sessioni non criptate (ad esempio, richieste a siti senza HTTPS).
La vulnerabilità è causata dall'assenza di un adeguato filtraggio dei pacchetti ICMP falsi con indirizzo mittente alterato (spoofing) nei processori di rete (NPU, Network Processing Unit), che forniscono un'elaborazione a basso livello dei pacchetti nella rete wireless. Tra le altre cose, gli NPU reindirizzavano pacchetti ICMP falsi con il flag 'redirect' senza un controllo di spoofing, che possono essere utilizzati per modificare i parametri delle tabelle di routing sul lato della vittima. L'attacco consiste nell'inviare un pacchetto ICMP a nome dell'access point con il flag 'redirect' contenente dati falsi nell'intestazione del pacchetto. A causa della vulnerabilità, il messaggio viene reindirizzato dall'access point e elaborato dallo stack di rete della vittima, che crede che il messaggio sia stato inviato dall'access point.
Inoltre, i ricercatori hanno proposto un metodo per eludere i controlli dei pacchetti ICMP con il flag 'redirect' lato utente finale e modificare la sua tabella di routing. Per eludere il filtraggio, l'attaccante determina in anticipo una porta UDP attiva sul lato della vittima. Essendo sulla stessa rete wireless, l'attaccante può intercettare il traffico, ma non può decriptarlo poiché non conosce la chiave di sessione utilizzata dalla vittima per connettersi all'access point. Tuttavia, inviando pacchetti di verifica alla vittima, l'attaccante, sulla base dell'analisi delle risposte ICMP ricevute con il flag 'Destination Unreachable', può determinare la porta UDP attiva. Successivamente, l'attaccante forma un messaggio ICMP con il flag 'redirect' e un'intestazione UDP falsificata, in cui è indicata la porta UDP aperta identificata. L'elaborazione di questo messaggio porta a una distorsione della tabella di routing nel sistema della vittima e al reindirizzamento del traffico con la possibilità di intercettarlo in chiaro a livello di collegamento.
La presenza di un problema è stata confermata nei punti di accesso che utilizzano chip prodotti da HiSilicon e Qualcomm. L'analisi di 55 diversi modelli di punti di accesso di 10 noti produttori (Cisco, NetGear, Xiaomi, Mercury, 360, Huawei, TP-Link, H3C, Tenda, Ruijie) ha mostrato che tutti sono vulnerabili e non bloccano i pacchetti ICMP falsificati. Inoltre, l'analisi di 122 reti wireless esistenti ha rivelato la possibilità di eseguire attacchi in 109 reti (89%).
Per sfruttare le vulnerabilità, un attaccante deve avere la possibilità di connettersi legittimamente a una rete Wi-Fi, ossia deve conoscere i parametri di accesso alla rete wireless (le vulnerabilità consentono di aggirare i meccanismi di separazione del traffico degli utenti applicati nei protocolli WPA*). A differenza degli attacchi MITM tradizionali alle reti wireless, utilizzando la tecnica di spoofing dei pacchetti ICMP, l'attaccante può evitare di implementare il proprio punto di accesso falso per intercettare il traffico e utilizzare i punti di accesso legittimi della rete per reindirizzare pacchetti ICMP appositamente preparati alla vittima.
Fonte: opennet.ru
