Sono state identificate quattro vulnerabilità nei componenti del Realtek SDK, utilizzato da vari produttori di dispositivi wireless nelle loro firmware, che consentono a un attaccante non autenticato di eseguire codice da remoto su un dispositivo con privilegi elevati. Secondo stime preliminari, i problemi interessano almeno 200 modelli di dispositivi di 65 fornitori diversi, inclusi vari modelli di router wireless di Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE e Zyxel.
Il problema riguarda diverse classi di dispositivi wireless basati su SoC RTL8xxx, dai router wireless e ripetitori Wi-Fi, alle telecamere IP e ai dispositivi smart per il controllo dell’illuminazione. Nei dispositivi basati su chip RTL8xxx viene utilizzata un'architettura che prevede l'installazione di due SoC: il primo ospita il firmware del produttore basato su Linux, mentre il secondo esegue un ambiente Linux ridotto con l'implementazione delle funzioni di access point. Il contenuto del secondo ambiente è basato su componenti standard forniti da Realtek nel SDK. Questi componenti gestiscono anche i dati provenienti da richieste esterne.
Le vulnerabilità colpiscono i prodotti che utilizzano Realtek SDK v2.x, Realtek «Jungle» SDK v3.0-3.4 e Realtek «Luna» SDK fino alla versione 1.3.2. Una correzione è già stata rilasciata nell'aggiornamento Realtek «Luna» SDK 1.3.2a e sono in preparazione patch per il Realtek «Jungle» SDK. Non sono previsti aggiornamenti per Realtek SDK 2.x, poiché il supporto per questa versione è già cessato. Sono stati forniti prototipi funzionanti di exploit per tutte le vulnerabilità, che consentono l'esecuzione di codice arbitrario sul dispositivo.
Vulnerabilità identificate (le prime due hanno un livello di pericolo 8.1, le altre 9.8):
- CVE-2021-35392 — overflow del buffer nei processi mini_upnpd e wscd, che implementano la funzionalità "WiFi Simple Config" (mini_upnpd si occupa del trattamento dei pacchetti SSDP, mentre wscd, oltre a supportare SSDP, gestisce le richieste UPnP basate sul protocollo HTTP). Un attaccante può eseguire il proprio codice inviando richieste UPnP "SUBSCRIBE" appositamente formulate con un valore di numero di porta eccessivo nel campo "Callback". SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — vulnerabilità nei gestori "WiFi Simple Config", che si manifesta durante l'uso del protocollo SSDP (utilizza UDP e un formato di richiesta simile all'HTTP). Il problema è causato dall'uso di un buffer fisso di 512 byte durante il trattamento del parametro "ST:upnp" nei messaggi M-SEARCH inviati dai client per determinare la presenza di servizi sulla rete.
- CVE-2021-35394 — vulnerabilità nel processo MP Daemon, responsabile dell'esecuzione delle operazioni di diagnostica (ping, traceroute). Il problema consente l'inserimento di comandi personalizzati a causa di controlli insufficienti sugli argomenti durante l'esecuzione di utility esterne.
- CVE-2021-35395 — una serie di vulnerabilità nelle interfacce web basate su server http /bin/webs e /bin/boa. In entrambi server sono state rilevate vulnerabilità standard dovute alla mancanza di verifica degli argomenti prima dell'esecuzione di utility esterne tramite la funzione system(). Le differenze riguardano solo l'uso di diverse API per gli attacchi. Entrambi i gestori non integravano protezioni contro attacchi CSRF e tecniche di "DNS rebinding", che consentono di inviare richieste da una rete esterna quando l'accesso all'interfaccia è limitato a quella interna. Inoltre, nei processi è stata utilizzata di default un'account predefinito supervisor/supervisor. Inoltre, sono stati rilevati diversi overflow dello stack nei gestori, che si manifestano quando vengono inviati argomenti di dimensioni eccessive. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Si segnala inoltre la scoperta di ulteriori vulnerabilità nel processo UDPServer. Risulta che uno dei problemi era stato già identificato da altri ricercatori nel 2015, ma non è stato completamente risolto. Il problema è causato dalla mancanza di adeguati controlli sugli argomenti passati alla funzione system() e può essere sfruttato inviando sulla porta di rete 9034 una stringa del tipo ‘orf;ls’. Inoltre, nel UDPServer è stata identificata una vulnerabilità di buffer overflow a causa dell'uso non sicuro della funzione sprintf, che può essere potenzialmente utilizzata per effettuare attacchi.
Fonte: opennet.ru
