Un gruppo di ricercatori delle università Tsinghua (Cina) e George Mason (USA) ha rivelato un problema di vulnerabilità (CVE-2022-25667) nelle reti Wi-Fi, che consente di intercettare il traffico (MITM) in reti wireless protette dai protocolli WPA, WPA2 e WPA3. Attraverso la manipolazione dei pacchetti ICMP con il flag 'redirect', un attaccante può ottenere il reindirizzamento del traffico della vittima all'interno della rete wireless attraverso il proprio sistema, il che può essere utilizzato per intercettare e sostituire sessioni non crittografate (ad esempio, richieste a siti senza HTTPS).
La vulnerabilità è causata dalla mancanza di un'adeguata filtrazione dei pacchetti ICMP falsi con indirizzo mittente contraffatto (spoofing) nelle unità di elaborazione di rete (NPU, Network Processing Unit), che gestiscono il trattamento a basso livello dei pacchetti in una rete wireless. Tra l'altro, le NPU reindirizzavano pacchetti ICMP falsi con flag "redirect" senza verificare lo spoofing, i quali possono essere utilizzati per modificare i parametri delle tabelle di routing sul lato dell'utente vittima. L'attacco consiste nell'invio di un pacchetto ICMP a nome del punto di accesso con flag "redirect" che contiene dati contraffatti nell'intestazione del pacchetto. A causa della vulnerabilità, il messaggio viene reindirizzato dal punto di accesso e viene elaborato dallo stack di rete della vittima, che crede che il messaggio sia stato inviato dal punto di accesso.
In aggiunta, i ricercatori hanno proposto un metodo per eludere i controlli dei pacchetti ICMP con flag "redirect" dal lato dell'utente finale e modificare la sua tabella di instradamento. Per eludere il filtraggio, l'attaccante identifica prima una porta UDP attiva sul lato della vittima. Essendo sulla stessa rete wireless, l'attaccante può intercettare il traffico, ma non può decifrarlo poiché non conosce la chiave di sessione utilizzata dalla vittima per accedere al punto di accesso. Tuttavia, inviando pacchetti di verifica alla vittima, l'attaccante, sulla base dell'analisi delle risposte ICMP in arrivo con flag "Destination Unreachable", può determinare una porta UDP attiva. Successivamente, l'attaccante forma un messaggio ICMP con flag "redirect" e un'intestazione UDP falsificata, in cui è indicata la porta UDP aperta identificata. L'elaborazione di questo messaggio porta alla distorsione della tabella di instradamento nel sistema della vittima e al reindirizzamento del traffico con la possibilità di essere intercettato in chiaro a livello di collegamento.
Il problema è stato confermato nei punti di accesso che utilizzano chip prodotti da HiSilicon e Qualcomm. Un'analisi di 55 modelli di punti di accesso di 10 produttori noti (Cisco, NetGear, Xiaomi, Mercury, 360, Huawei, TP-Link, H3C, Tenda, Ruijie) ha dimostrato che tutti sono vulnerabili e non bloccano pacchetti ICMP falsificati. Inoltre, nell'analisi di 122 reti wireless esistenti è stata identificata la possibilità di effettuare un attacco in 109 reti (89%).
Per sfruttare le vulnerabilità, l'attaccante deve essere in grado di connettersi legittimamente alla rete Wi-Fi, ovvero deve conoscere le credenziali di accesso alla rete wireless (le vulnerabilità consentono di bypassare i meccanismi di separazione del traffico utente all'interno della rete applicati nei protocolli WPA*). A differenza dei tradizionali attacchi MITM sulle reti wireless, utilizzando la tecnica di spoofing dei pacchetti ICMP, l'attaccante può evitare di dover implementare il proprio punto di accesso falso per intercettare il traffico e sfruttare i punti di accesso legittimi nella rete per reindirizzare pacchetti ICMP appositamente formattati alla vittima.
Fonte: opennet.ru
