In de componenten van de Realtek SDK, die door verschillende fabrikanten van draadloze apparaten in hun firmware wordt gebruikt, zijn vier kwetsbaarheden ontdekt waarmee een niet-geauthenticeerde aanvaller op afstand code kan uitvoeren op het apparaat met verhoogde rechten. Voorlopige schattingen tonen aan dat de problemen minstens 200 modellen van apparaten van 65 verschillende leveranciers treffen, waaronder verschillende modellen draadloze routers van Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE en Zyxel.
Het probleem bestrijkt verschillende klassen draadloze apparaten die zijn gebaseerd op de SoC RTL8xxx, van draadloze routers en Wi-Fi-versterkers tot IP-camera's en slimme apparaten voor verlichting. Apparaten die zijn gebaseerd op RTL8xxx-chips gebruiken een architectuur die de installatie van twee SoC's vereist ā op de eerste wordt de Linux-firmware van de fabrikant geĆÆnstalleerd, terwijl op de tweede een aparte, afgeslankte Linux-omgeving draait met de implementatie van accespoint-functies. De samenstelling van deze tweede omgeving is gebaseerd op standaardcomponenten die door Realtek in de SDK worden geleverd. Deze componenten verwerken onder andere de gegevens die binnenkomen als gevolg van externe aanvragen.
De kwetsbaarheden treffen producten waarin Realtek SDK v2.x, Realtek "Jungle" SDK v3.0-3.4 en Realtek "Luna" SDK tot versie 1.3.2 worden gebruikt. Een patch is al uitgebracht in de update Realtek "Luna" SDK 1.3.2a, en er worden patches voorbereid voor de Realtek "Jungle" SDK. Voor Realtek SDK 2.x zijn er geen plannen voor het uitgeven van patches, aangezien de ondersteuning voor deze tak al is beƫindigd. Voor alle kwetsbaarheden zijn werkende prototypen van exploits beschikbaar die het mogelijk maken om eigen code op het apparaat uit te voeren.
De ontdekte kwetsbaarheden (de eerste twee zijn geclassificeerd met een gevaarlijkheidsniveau van 8.1, de overige met 9.8):
- CVE-2021-35392 ā bufferoverloop in de processen mini_upnpd en wscd, die functionaliteit voor "WiFi Simple Config" implementeren (mini_upnpd is verantwoordelijk voor het verwerken van SSDP-pakketten, terwijl wscd, naast de ondersteuning van SSDP, ook het afhandelen van UPnP-verzoeken op basis van het HTTP-protocol verzorgt). De aanvaller kan zijn code laten uitvoeren door speciaal opgemaakte UPnP-verzoeken "SUBSCRIBE" met een te grote waarde voor het poortnummer in het veld "Callback" te verzenden. SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 ā kwetsbaarheid in de handlers van 'WiFi Simple Config', zichtbaar bij het gebruik van het SSDP-protocol (maakt gebruik van UDP en een verzoekformaat dat lijkt op HTTP). Het probleem wordt veroorzaakt door het gebruik van een vaste buffer van 512 bytes bij de verwerking van de parameter 'ST:upnp' in M-SEARCH-berichten die door clients worden verzonden om de beschikbaarheid van services in het netwerk te bepalen.
- CVE-2021-35394 ā kwetsbaarheid in het MP Daemon-proces, dat verantwoordelijk is voor het uitvoeren van diagnostische operaties (ping, traceroute). Het probleem maakt het mogelijk om eigen commando's in te voegen door onvoldoende controle van de argumenten bij het uitvoeren van externe hulpprogramma's.
- CVE-2021-35395 ā reeks kwetsbaarheden in webinterfaces op basis van http-servers /bin/webs en /bin/boa. In beide servers Er zijn typische kwetsbaarheden ontdekt door het ontbreken van argumentcontrole voordat externe hulpprogramma's worden uitgevoerd met de functie system(). De verschillen komen voornamelijk voort uit het gebruik van verschillende API's voor de aanval. Beide handlers bevatten geen bescherming tegen CSRF-aanvallen en technieken zoals 'DNS rebinding', die het mogelijk maken om verzoeken vanuit een extern netwerk te verzenden terwijl de toegang tot de interface alleen voor het interne netwerk is beperkt. Daarnaast werd in de processen standaard gebruikgemaakt van het vooraf gedefinieerde account supervisor/supervisor. Bovendien zijn er in de handlers verschillende stack overflow-kwetsbaarheden ontdekt die zich manifesteren bij het verzenden van argumenten die te groot zijn. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Bovendien zijn er nog enkele kwetsbaarheden vastgesteld in het UDPServer-proces. Wat blijkt, een van de problemen was al in 2015 door andere onderzoekers ontdekt, maar niet volledig verholpen. Het probleem wordt veroorzaakt door het ontbreken van deugdelijke argumentcontrole die aan de functie system() wordt doorgegeven en kan worden geƫxploiteerd door het verzenden van een string zoals 'orf;ls' naar poort 9034. Daarnaast is er een bufferoverflow in UDPServer ontdekt door onveilig gebruik van de functie sprintf, wat ook potentieel kan worden gebruikt voor aanvallen.
Bron: opennet.ru
