Nel Realtek SDK, utilizzato da diversi produttori di dispositivi wireless nei loro firmware, sono state riscontrate quattro vulnerabilità che consentono a un attaccante non autenticato di eseguire codice in remoto su dispositivi con privilegi elevati. Secondo una stima preliminare, i problemi riguardano almeno 200 modelli di dispositivi di 65 diversi fornitori, inclusi vari modelli di router wireless Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE e Zyxel.
Il problema interessa diverse classi di dispositivi wireless basati su SoC RTL8xxx, dai router wireless e ripetitori Wi-Fi, alle telecamere IP e dispositivi intelligenti per il controllo dell'illuminazione. Nei dispositivi basati su chip RTL8xxx viene utilizzata un'architettura che prevede l'installazione di due SoC: il primo ospita un firmware del produttore basato su Linux, mentre il secondo esegue un ambiente Linux separato e ridotto con implementazione delle funzioni del punto di accesso. Il secondo ambiente si basa su componenti standard forniti da Realtek nel SDK. I componenti indicati elaborano anche i dati ricevuti a seguito dell'invio di richieste esterne.
Le vulnerabilità interessano i prodotti che utilizzano Realtek SDK v2.x, Realtek «Jungle» SDK v3.0-3.4 e Realtek «Luna» SDK fino alla versione 1.3.2. È già stata rilasciata una correzione nell'aggiornamento Realtek «Luna» SDK 1.3.2a, e sono in preparazione patch per il Realtek «Jungle» SDK. Non sono previsti aggiornamenti per Realtek SDK 2.x, poiché il supporto per questa versione è già stato interrotto. Per tutte le vulnerabilità sono forniti prototipi funzionanti di exploit che consentono di eseguire codice sul dispositivo.
Le vulnerabilità identificate (le prime due hanno un livello di gravità 8.1 e le altre un livello 9.8):
- CVE-2021-35392 — overflow del buffer nei processi mini_upnpd e wscd, che implementano la funzionalità «WiFi Simple Config» (mini_upnpd gestisce i pacchetti SSDP, mentre wscd oltre a supportare SSDP gestisce le richieste UPnP basate sul protocollo HTTP). Un attaccante può ottenere l'esecuzione del proprio codice inviando richieste UPnP «SUBSCRIBE» appositamente formattate con un valore eccessivo del numero di porta nel campo «Callback». SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — vulnerabilità nei gestori «WiFi Simple Config», che si manifesta durante l'uso del protocollo SSDP (utilizza UDP e un formato di richieste simile a HTTP). Il problema è causato dall'uso di un buffer fisso di 512 byte durante l'elaborazione del parametro «ST:upnp» nei messaggi M-SEARCH inviati dai client per determinare la presenza di servizi nella rete.
- CVE-2021-35394 — vulnerabilità nel processo MP Daemon, responsabile dell'esecuzione delle operazioni di diagnostica (ping, traceroute). Il problema consente l'inserimento dei propri comandi a causa di un controllo insufficiente degli argomenti durante l'esecuzione di utilità esterne.
- CVE-2021-35395 — serie di vulnerabilità nelle interfacce web basate su http-server /bin/webs e /bin/boa. In entrambi server выявлены типовые уязвимости, вызванные отсутствием проверки аргументов перед запуском внешних утилит функцией system(). Отличия сводятся только к использованию для атаки разных API. Оба обработчика не включали защиту от атаки CSRF и техники «DNS rebinding», позволяющей организовать отправку запросов из внешней сети при ограничении доступа к интерфейсу только для внутренней сети. В процессах также по умолчанию использовалась предопределённая учётная запись supervisor/supervisor. Кроме того, в обработчиках выявлено несколько переполнений стека, проявляющихся при отправке аргументов слишком большого размера. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=%2Fwlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Si segnala inoltre l'emergere di ulteriori vulnerabilità nel processo UDPServer. Risulta che uno dei problemi fosse già stato scoperto da altri ricercatori nel 2015, ma non è stato completamente risolto. Il problema è causato dalla mancanza di un'adeguata verifica degli argomenti passati alla funzione system() e può essere sfruttato inviando sulla porta di rete 9034 una stringa del tipo 'orf;ls'. Inoltre, nel UDPServer è stata rilevata un'overflow del buffer a causa di un utilizzo non sicuro della funzione sprintf, che potrebbe anch'essa essere potenzialmente sfruttata per attacchi.
Fonte: opennet.ru
