Sono state identificate quattro vulnerabilità nei componenti del Realtek SDK, utilizzato da vari produttori di dispositivi wireless nelle loro firmware, che consentono a un attaccante non autenticato di eseguire codice da remoto su un dispositivo con privilegi elevati. Secondo stime preliminari, i problemi interessano almeno 200 modelli di dispositivi di 65 fornitori diversi, inclusi vari modelli di router wireless di Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE e Zyxel.
Il problema riguarda diverse classi di dispositivi wireless basati su SoC RTL8xxx, dai router wireless e ripetitori Wi-Fi, alle telecamere IP e ai dispositivi smart per il controllo dell’illuminazione. Nei dispositivi basati su chip RTL8xxx viene utilizzata un'architettura che prevede l'installazione di due SoC: il primo ospita il firmware del produttore basato su Linux, mentre il secondo esegue un ambiente Linux ridotto con l'implementazione delle funzioni di access point. Il contenuto del secondo ambiente è basato su componenti standard forniti da Realtek nel SDK. Questi componenti gestiscono anche i dati provenienti da richieste esterne.
Le vulnerabilità colpiscono i prodotti che utilizzano Realtek SDK v2.x, Realtek «Jungle» SDK v3.0-3.4 e Realtek «Luna» SDK fino alla versione 1.3.2. Una correzione è già stata rilasciata nell'aggiornamento Realtek «Luna» SDK 1.3.2a e sono in preparazione patch per il Realtek «Jungle» SDK. Non sono previsti aggiornamenti per Realtek SDK 2.x, poiché il supporto per questa versione è già cessato. Sono stati forniti prototipi funzionanti di exploit per tutte le vulnerabilità, che consentono l'esecuzione di codice arbitrario sul dispositivo.
Vulnerabilità identificate (le prime due hanno un livello di pericolo 8.1, le altre 9.8):
- CVE-2021-35392 — overflow del buffer nei processi mini_upnpd e wscd, che implementano la funzionalità "WiFi Simple Config" (mini_upnpd si occupa del trattamento dei pacchetti SSDP, mentre wscd, oltre a supportare SSDP, gestisce le richieste UPnP basate sul protocollo HTTP). Un attaccante può eseguire il proprio codice inviando richieste UPnP "SUBSCRIBE" appositamente formulate con un valore di numero di porta eccessivo nel campo "Callback". SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — vulnerabilità nei gestori "WiFi Simple Config", che si manifesta durante l'uso del protocollo SSDP (utilizza UDP e un formato di richiesta simile all'HTTP). Il problema è causato dall'uso di un buffer fisso di 512 byte durante il trattamento del parametro "ST:upnp" nei messaggi M-SEARCH inviati dai client per determinare la presenza di servizi sulla rete.
- CVE-2021-35394 — vulnerabilità nel processo MP Daemon, responsabile dell'esecuzione delle operazioni di diagnostica (ping, traceroute). Il problema consente l'inserimento di comandi personalizzati a causa di controlli insufficienti sugli argomenti durante l'esecuzione di utility esterne.
- CVE-2021-35395 — una serie di vulnerabilità nelle interfacce web basate su server http /bin/webs e /bin/boa. In entrambi server выявлены типовые уязвимости, вызванные отсутствием проверки аргументов перед запуском внешних утилит функцией system(). Отличия сводятся только к использованию для атаки разных API. Оба обработчика не включали защиту от атаки CSRF и техники «DNS rebinding», позволяющей организовать отправку запросов из внешней сети при ограничении доступа к интерфейсу только для внутренней сети. В процессах также по умолчанию использовалась предопределённая учётная запись supervisor/supervisor. Кроме того, в обработчиках выявлено несколько переполнений стека, проявляющихся при отправке аргументов слишком большого размера. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=%2Fwlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Si segnala inoltre la scoperta di ulteriori vulnerabilità nel processo UDPServer. Risulta che uno dei problemi era stato già identificato da altri ricercatori nel 2015, ma non è stato completamente risolto. Il problema è causato dalla mancanza di adeguati controlli sugli argomenti passati alla funzione system() e può essere sfruttato inviando sulla porta di rete 9034 una stringa del tipo ‘orf;ls’. Inoltre, nel UDPServer è stata identificata una vulnerabilità di buffer overflow a causa dell'uso non sicuro della funzione sprintf, che può essere potenzialmente utilizzata per effettuare attacchi.
Fonte: opennet.ru
