No componentes do Realtek SDK, utilizado por diversos fabricantes de dispositivos sem fio em seus firmwares, foram identificadas quatro vulnerabilidades que permitem a um atacante não autenticado executar remotamente código no dispositivo com privilégios elevados. A avaliação preliminar indica que os problemas afetam pelo menos 200 modelos de dispositivos de 65 fornecedores diferentes, incluindo várias modelos de roteadores sem fio da Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE e Zyxel.
O problema abrange diversas classes de dispositivos sem fio baseados em SoC RTL8xxx, desde roteadores sem fio e amplificadores de Wi-Fi até câmeras IP e dispositivos inteligentes para controle de iluminação. Nos dispositivos que utilizam os chips RTL8xxx, é utilizada uma arquitetura que implica a instalação de dois SoCs — o primeiro roda o firmware do fabricante baseado em Linux, enquanto o segundo executa um ambiente Linux reduzido com implementações de funcionalidades de ponto de acesso. O coração do segundo ambiente é baseado em componentes padrão fornecidos pela Realtek no SDK. Esses componentes lidam, entre outras coisas, com os dados resultantes do envio de solicitações externas.
As vulnerabilidades afetam produtos que utilizam o Realtek SDK v2.x, o Realtek "Jungle" SDK v3.0-3.4 e o Realtek "Luna" SDK até a versão 1.3.2. Já foi lançado um patch no Realtek "Luna" SDK 1.3.2a, e patches estão sendo preparados para publicação para o Realtek "Jungle" SDK. Para o Realtek SDK 2.x, não está prevista a liberação de correções, pois o suporte para essa versão já foi encerrado. Prototótipos de exploits funcionais foram disponibilizados para todas as vulnerabilidades, permitindo a execução de código no dispositivo.
As vulnerabilidades identificadas (as duas primeiras receberam um nível de gravidade de 8.1, enquanto as demais receberam 9.8):
- CVE-2021-35392 — estouro de buffer nos processos mini_upnpd e wscd, que implementam a funcionalidade "WiFi Simple Config" (o mini_upnpd lida com pacotes SSDP, enquanto o wscd, além de suportar SSDP, gerencia solicitações UPnP com base no protocolo HTTP). Um atacante pode conseguir executar seu código enviando solicitações UPnP "SUBSCRIBE" especialmente formatadas com um valor de número de porta excessivamente grande no campo "Callback". SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — uma vulnerabilidade nos manipuladores "WiFi Simple Config", que se manifesta ao usar o protocolo SSDP (utiliza UDP e um formato de solicitação semelhante ao HTTP). O problema é causado pelo uso de um buffer fixo de 512 bytes ao processar o parâmetro "ST:upnp" nas mensagens M-SEARCH enviadas pelos clientes para detectar a presença de serviços na rede.
- CVE-2021-35394 — uma vulnerabilidade no processo MP Daemon, responsável por executar operações de diagnóstico (ping, traceroute). O problema permite a injeção de comandos próprios devido à verificação insuficiente dos argumentos ao executar utilitários externos.
- CVE-2021-35395 — uma série de vulnerabilidades em interfaces web baseadas nos servidores http /bin/webs e /bin/boa. Em ambos servidores foram identificadas vulnerabilidades típicas causadas pela falta de verificação dos argumentos antes da execução de utilitários externos pela função system(). As diferenças resumem-se apenas ao uso de diferentes APIs para o ataque. Ambos os manipuladores não incluíam proteção contra ataques CSRF e técnicas de "DNS rebinding", que permitem o envio de solicitações de uma rede externa quando o acesso à interface é restrito apenas à rede interna. Além disso, nos processos foi usada por padrão uma conta predefinida supervisor/supervisor. Além disso, os manipuladores apresentaram várias sobrecargas de pilha, manifestando-se ao enviar argumentos de tamanho excessivo. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Além disso, foi observada a identificação de mais algumas vulnerabilidades no processo UDPServer. Uma das questões já havia sido descoberta por outros pesquisadores em 2015, mas não foi totalmente corrigida. O problema é causado pela falta de uma verificação adequada dos argumentos passados para a função system() e pode ser explorado enviando uma string do tipo 'orf;ls' para a porta de rede 9034. Além disso, no UDPServer foi identificada uma vulnerabilidade de estouro de buffer devido ao uso inseguro da função sprintf, que também pode ser potencialmente usada para realizar ataques.
Fonte: opennet.ru
