I ricercatori della Faraday Security hanno presentato alla conferenza DEFCON i dettagli su come sfruttare una vulnerabilità critica (CVE-2022-27255) nel SDK per i chip Realtek RTL819x, che consente di eseguire codice sul dispositivo inviando un pacchetto UDP appositamente formattato. La vulnerabilità è significativa perché permette di attaccare dispositivi in cui l'accesso all'interfaccia web è disabilitato per le reti esterne: è sufficiente inviare un solo pacchetto UDP per effettuare l'attacco.
La vulnerabilità colpisce i dispositivi che utilizzano versioni vulnerabili del SDK Realtek, inclusi eCos RSDK 1.5.7p1 e MSDK 4.9.4p1. Gli aggiornamenti del SDK eCos per risolvere la vulnerabilità sono stati pubblicati da Realtek il 25 marzo. Non è ancora chiaro quali dispositivi siano effettivamente a rischio: il SoC Realtek RTL819x è utilizzato nei router di rete, punti di accesso, amplificatori Wi-Fi, telecamere IP, dispositivi IoT e altri dispositivi di rete di oltre 60 produttori, tra cui Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Smartlink, UPVEL, ZTE e Zyxel.
Sono già disponibili pubblicamente esempi di exploit per ottenere accesso remoto ai dispositivi ed eseguire comandi, a partire da un attacco a un router Nexxt Nebula 300 Plus. Sono state inoltre rilasciate utilità per analizzare i firmware alla ricerca di vulnerabilità.
Considerando i problemi con la preparazione e la distribuzione degli aggiornamenti firmware per i dispositivi già rilasciati, si prevede l'emergere a breve di attacchi automatizzati e worm che colpiranno dispositivi di rete vulnerabili. Dopo un attacco riuscito, i dispositivi compromessi potrebbero essere utilizzati da malintenzionati, ad esempio, per formare botnet, creare backdoor per lasciare un varco nella rete interna dell'azienda, o per intercettare il traffico di transito o reindirizzarlo verso un host esterno.
La vulnerabilità è causata da un overflow del buffer nel modulo "SIP ALG" (SIP Application Layer Gateway), utilizzato per l'inoltro dei pacchetti SIP dietro un traduttore di indirizzi. Il problema è sorto a causa della mancanza di controllo delle dimensioni effettive dei dati ricevuti, portando a una sovrascrittura della memoria al di fuori del buffer fisso quando viene chiamata la funzione strcpy durante l'elaborazione dei pacchetti SIP. L'attacco può essere realizzato inviando un pacchetto UDP con valori errati nei campi del blocco dati SDP o nell'intestazione del protocollo SIP. Per sfruttare questa vulnerabilità, è sufficiente inviare un pacchetto a una porta UDP qualsiasi dell'interfaccia WAN.
Come soluzione temporanea, si consiglia di bloccare nel firewall o nel sistema di prevenzione delle intrusioni i pacchetti UDP con il messaggio SIP "INVITE", la stringa "m=audio" e dimensioni superiori a 128 byte. Ecco un esempio di regola per rilevare tentativi di sfruttamento in IDS Snort 3: alert udp any any -> any any (sid:1000000; \ msg:"Realtek eCOS SDK SIP Traffic Exploit CVE-2022-27255"; \ content: "invite"; depth: 6; nocase; \ content: "m=audio "; \ isdataat: 128,relative; content:!"|0d|"; within: 128;)
Fonte: opennet.ru
