Broadcom ワイヤレス チップのドライバー内 4人 。 最も単純なケースでは、この脆弱性を利用してリモートからサービス妨害を引き起こす可能性がありますが、特別に設計されたパケットを送信することで、認証されていない攻撃者が Linux カーネル権限でコードを実行できるようにするエクスプロイトが開発されるシナリオも除外できません。
この問題は、Broadcom ファームウェアのリバース エンジニアリングによって特定されました。 影響を受けるチップは、ラップトップ、スマートフォンのほか、SmartTV からモノのインターネット デバイスに至るまで、さまざまな消費者向けデバイスで広く使用されています。 特に、Broadcom チップは、Apple、Samsumg、Huawei などのメーカーのスマートフォンに使用されています。 Broadcom がこの脆弱性について通知されたのは 2018 年 7 月でしたが、機器メーカーと連携して修正プログラムをリリースするまでに約 XNUMX か月かかった点は注目に値します。
XNUMXつの脆弱性は内部ファームウェアに影響を及ぼし、Broadcomチップで使用されているオペレーティングシステムの環境でコードが実行される可能性があり、Linuxを使用していない環境への攻撃が可能になります（例えば、Appleデバイスへの攻撃の可能性が確認されています）。 ）。 Broadcom Wi-Fi チップの一部は特殊なプロセッサ (ARM Cortex R4 または M3) であり、802.11 ワイヤレス スタック (FullMAC) を実装した同様のオペレーティング システムを実行していることを思い出してください。 このようなチップでは、ドライバーはメイン システムと Wi-Fi チップ ファームウェアの相互作用を保証します。 FullMAC が侵害された後にメイン システムを完全に制御するには、追加の脆弱性を使用するか、一部のチップではシステム メモリへのフル アクセスを利用することが提案されています。 SoftMAC を備えたチップでは、802.11 ワイヤレス スタックがドライバー側に実装され、システム CPU を使用して実行されます。
ドライバーの脆弱性は、独自の wl ドライバー (SoftMAC および FullMAC) とオープンソースの brcmfmac (FullMAC) の両方で発生します。 wl ドライバーで XNUMX つのバッファ オーバーフローが検出されました。これは、アクセス ポイントが接続ネゴシエーション プロセス中に特別にフォーマットされた EAPOL メッセージを送信するときに悪用されます (悪意のあるアクセス ポイントへの接続時に攻撃が実行される可能性があります)。 SoftMAC を搭載したチップの場合、脆弱性によりシステム カーネルの侵害が発生し、FullMAC の場合、コードがファームウェア側で実行される可能性があります。 brcmfmac には、バッファ オーバーフローと、制御フレームの送信によって悪用されるフレーム チェック エラーが含まれています。 Linux カーネルの brcmfmac ドライバーの問題 XNUMX月中。
特定された脆弱性:
- CVE-2019-9503 - ファームウェアと対話するために使用される制御フレームを処理するときの brcmfmac ドライバーの誤った動作。 ファームウェア イベントを含むフレームが外部ソースから来た場合、ドライバーはそれを破棄しますが、イベントが内部バス経由で受信された場合、フレームはスキップされます。 問題は、USB を使用するデバイスからのイベントが内部バスを介して送信されるため、攻撃者が USB インターフェイスを備えたワイヤレス アダプターを使用している場合にファームウェア制御フレームを送信できることです。
- CVE-2019-9500 – 「Wake-up on Wireless LAN」機能が有効になっている場合、特別に変更された制御フレームを送信することにより、brcmfmac ドライバー (関数 brcmf_wowl_nd_results) でヒープ オーバーフローを引き起こす可能性があります。 この脆弱性は、チップが侵害された後にメイン システムでのコード実行を組織するために使用したり、CVE-2019-9503 脆弱性と組み合わせて、制御フレームのリモート送信時のチェックをバイパスしたりするために使用できます。
- CVE-2019-9501 - メーカー情報フィールドの内容が 32 バイトを超えるメッセージを処理するときに発生する wl ドライバー (wlc_wpa_sup_eapol 関数) のバッファ オーバーフロー。
- CVE-2019-9502 - メーカー情報フィールドの内容が 164 バイトを超えるメッセージを処理すると、wl ドライバー (wlc_wpa_plumb_gtk 関数) でバッファ オーバーフローが発生します。
出所： オープンネット.ru