Onderzoekers van Faraday Security hebben op de DEFCON-conferentie details gepresenteerd over de exploitatie van een kritieke kwetsbaarheid (CVE-2022-27255) in de SDK voor Realtek RTL819x-chips, waarmee het mogelijk is om eigen code op een apparaat uit te voeren door het verzenden van een speciaal samengestelde UDP-pakket. De kwetsbaarheid is opmerkelijk omdat het mogelijk is om apparaten aan te vallen die de toegang tot de webinterface voor externe netwerken hebben uitgeschakeld ā voor de aanval is het voldoende om gewoon Ć©Ć©n UDP-pakket te verzenden.
De kwetsbaarheid betreft apparaten die kwetsbare versies van de Realtek SDK gebruiken, waaronder eCos RSDK 1.5.7p1 en MSDK 4.9.4p1. Updates van de eCos SDK om de kwetsbaarheid te verhelpen zijn op 25 maart door Realtek gepubliceerd. Het is nog onduidelijk welke specifieke apparaten kwetsbaar zijn ā de SoC Realtek RTL819x wordt gebruikt in netwerkrouters, access points, Wi-Fi-versterkers, IP-camera's, Internet of Things-apparaten en andere netwerkapparaten van meer dan 60 fabrikanten, waaronder Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Smartlink, UPVEL, ZTE en Zyxel.
Er zijn al voorbeelden van exploits gepubliceerd voor het verkrijgen van toegang op afstand tot een apparaat en het uitvoeren van eigen commando's aan de hand van een aanval op de router Nexxt Nebula 300 Plus. Daarnaast zijn er utilities gepubliceerd voor het analyseren van firmware op kwetsbaarheden.
Gezien de problemen met de voorbereiding en levering van firmware-updates voor al uitgebrachte apparaten wordt verwacht dat er binnenkort geautomatiseerde aanvallen en wormen zullen verschijnen die kwetsbare netwerkapparaten infecteren. Na een succesvolle aanval kunnen de geĆÆnfecteerde apparaten door aanvallers worden gebruikt, bijvoorbeeld voor het vormen van botnets, het integreren van backdoors om een achterdeurtje in het interne netwerk van een bedrijf achter te laten, het onderscheppen van transitverkeer of het omleiden daarvan naar een externe host.
De kwetsbaarheid wordt veroorzaakt door een bufferoverloop in de module "SIP ALG" (SIP Application Layer Gateway), die wordt gebruikt voor het doorsturen van SIP-pakketten achter een netwerk adres vertaalsysteem. Het probleem is ontstaan door het ontbreken van controle op de werkelijke grootte van de ontvangen gegevens, wat leidt tot het overschrijven van het geheugen buiten de vaste buffer bij het aanroepen van de functie strcpy tijdens de verwerking van SIP-pakketten. Een aanval kan worden uitgevoerd door het verzenden van een UDP-pakket met onjuiste waarden in de velden binnen het SDP-gegevensblok of de SIP-protocolheader. Het is genoeg om Ć©Ć©n pakket naar een willekeurige UDP-poort van de WAN-interface te sturen.
Als tijdelijke oplossing wordt aangeraden om op de firewall of in het systeem voor netwerkdetectie UDP-pakketten te blokkeren met een SIP-bericht "INVITE", de regel "m=audio" en een grootte groter dan 128 bytes. Een voorbeeldregel voor het detecteren van exploitatiepogingen in IDS Snort 3: alert udp any any -> any any (sid:1000000; \ msg:"Realtek eCOS SDK SIP Traffic Exploit CVE-2022-27255"; \ content: "invite"; depth: 6; nocase; \ content: "m=audio "; \ isdataat: 128,relative; content:!"|0d|"; within: 128;)
Bron: opennet.ru
