Ранливост во драјверите за чиповите за WiFi Broadcom, што ви овозможува далечински напад на системот

Во драјвери за безжичните чипови Broadcom откриени четири ранливости. Во наједноставниот случај, пропустите може да се искористат за далечинско да предизвикаат одбивање на услугата, но не можат да се исклучат сценарија во кои може да се развијат експлоатирања што овозможуваат неавтентициран напаѓач да го изврши својот код со привилегии на кернелот на Linux со испраќање специјално дизајнирани пакети.

Проблемите беа идентификувани со обратно инженерство на фирмверот на Broadcom. Засегнатите чипови се широко користени во лаптопи, паметни телефони и различни потрошувачки уреди, од паметни телевизори до уреди за Интернет на нештата. Конкретно, чиповите Broadcom се користат во паметни телефони од производители како Apple, Samsumg и Huawei. Вреди да се одбележи дека Broadcom беше известен за пропустите уште во септември 2018 година, но беа потребни околу 7 месеци за да се објават поправки во координација со производителите на опрема.

Две пропусти влијаат на внатрешниот фирмвер и потенцијално дозволуваат извршување на кодот во околината на оперативниот систем што се користи во чиповите Broadcom, што овозможува да се нападнат средини што не користат Linux (на пример, потврдена е можноста за напад на уреди на Apple CVE-2019-8564). Да потсетиме дека некои Broadcom Wi-Fi чипови се специјализиран процесор (ARM Cortex R4 или M3), кој работи со сличен оперативен систем со имплементации на неговиот безжичен стек 802.11 (FullMAC). Во таквите чипови, возачот обезбедува интеракција на главниот систем со фирмверот на чипот за Wi-Fi. За да се добие целосна контрола врз главниот систем откако ќе биде компромитиран FullMAC, се предлага да се користат дополнителни пропусти или, на некои чипови, да се искористи целосниот пристап до системската меморија. Во чиповите со SoftMAC, безжичниот оџак 802.11 се имплементира на страната на возачот и се извршува со помош на системскиот процесор.

Ранливости на двигателот се појавуваат и во комерцијалниот двигател на wl (SoftMAC и FullMAC) и во brcmfmac со отворен код (FullMAC). Во двигателот на wl беа откриени два прелевања на баферот, експлоатирани кога пристапната точка пренесува специјално форматирани пораки EAPOL за време на процесот на преговори за поврзување (нападот може да се изврши кога се поврзувате со злонамерна пристапна точка). Во случај на чип со SoftMAC, пропустите доведуваат до компромис на јадрото на системот, а во случај на FullMAC, кодот може да се изврши на страната на фирмверот. brcmfmac содржи прелевање на баферот и грешка при проверка на рамката, искористена со испраќање контролни рамки. Проблеми со драјверот brcmfmac во кернелот на Линукс беа елиминирани во февруари.

Идентификувани пропусти:

• CVE-2019-9503 - неправилно однесување на двигателот brcmfmac при обработка на контролните рамки што се користат за интеракција со фирмверот. Ако рамка со настан на фирмверот доаѓа од надворешен извор, возачот ја отфрла, но ако настанот се прими преку внатрешната магистрала, рамката се прескокнува. Проблемот е што настаните од уредите што користат USB се пренесуваат преку внатрешната магистрала, што им овозможува на напаѓачите успешно да пренесуваат контролни рамки на фирмверот кога користат безжични адаптери со USB интерфејс;
• CVE-2019-9500 – Кога е овозможена функцијата „Wake-up on Wireless LAN“, можно е да се предизвика прелевање на куп во двигателот brcmfmac (функција brcmf_wowl_nd_results) со испраќање на специјално изменета контролна рамка. Оваа ранливост може да се користи за организирање на извршување на кодот во главниот систем откако чипот е компромитиран или во комбинација со ранливоста CVE-2019-9503 за да се заобиколат проверките во случај на далечинско испраќање на контролна рамка;
• CVE-2019-9501 - прелевање на баферот во двигателот на wl (функцијата wlc_wpa_sup_eapol) што се јавува при обработка на пораки чија содржина на информациското поле за производителот надминува 32 бајти;
• CVE-2019-9502 - Прелевање на баферот во двигателот на wl (функција wlc_wpa_plumb_gtk) се јавува кога се обработуваат пораки чија содржина на информациското поле за производителот надминува 164 бајти.

Извор: opennet.ru