În componentele Realtek SDK, utilizate de diferite companii furnizori de echipamente wireless în firmware-urile lor, au fost descoperite patru vulnerabilități care permit unui atacator neautentificat să execute cod pe un dispozitiv cu privilegii ridicate de la distanță. Conform estimărilor preliminare, problemele afectează cel puțin 200 de modele de dispozitive de la 65 de furnizori diferiți, incluzând diverse modele de routere wireless de la Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE și Zyxel.
Problema afectează diverse clase de dispozitive wireless bazate pe SoC RTL8xxx, de la routere wireless și amplificatoare Wi-Fi, până la camere IP și dispozitive inteligente pentru controlul iluminatului. Dispozitivele bazate pe chip-uri RTL8xxx folosesc o arhitectură ce implică instalarea a două SoC-uri - pe primul se instalează firmware-ul producătorului bazat pe Linux, iar pe al doilea este configurat un mediu Linux redus, care implementează funcționalitățile de punct de acces. Componentele celui de-al doilea mediu sunt bazate pe componente standard furnizate de Realtek în SDK. Aceste componente procesează, de asemenea, datele rezultate din trimiterea de solicitări externe.
Vulnerabilitățile afectează produsele care utilizează Realtek SDK v2.x, Realtek «Jungle» SDK v3.0-3.4 și Realtek «Luna» SDK până la versiunea 1.3.2. O corectare a fost deja emisă în actualizarea Realtek «Luna» SDK 1.3.2a, iar patch-uri pentru Realtek «Jungle» SDK sunt în curs de pregătire pentru publicare. Nu se preconizează corecturi pentru Realtek SDK 2.x, deoarece suportul pentru această ramură a fost deja oprit. Pentru toate vulnerabilitățile au fost furnizate prototipuri funcționale de exploatare, care permit executarea codului propriu pe dispozitiv.
Vulnerabilitățile identificate (primelor două le-a fost atribuit un nivel de severitate de 8.1, iar celorlalte - 9.8):
- CVE-2021-35392 — depășirea buffer-ului în procesele mini_upnpd și wscd, care implementează funcționalitatea „WiFi Simple Config” (mini_upnpd se ocupă cu procesarea pachetelor SSDP, iar wscd, în plus față de suportul SSDP, răspunde solicitărilor UPnP bazate pe protocolul HTTP). Un atacator poate obține executarea codului său prin trimiterea de solicitări UPnP „SUBSCRIBE” special concepute cu o valoare prea mare a numărului de port în câmpul „Callback”. SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — o vulnerabilitate în gestionarele „WiFi Simple Config”, care se manifestă atunci când se utilizează protocolul SSDP (folosește UDP și un format de cereri similar cu HTTP). Problema este cauzată de utilizarea unui buffer fix, de 512 octeți, în procesarea parametrului „ST:upnp” în mesajele M-SEARCH trimise de clienți pentru a determina disponibilitatea serviciilor în rețea.
- CVE-2021-35394 — o vulnerabilitate în procesul MP Daemon, responsabil pentru executarea operațiunilor de diagnosticare (ping, traceroute). Problema permite substituirea comenzilor proprii din cauza verificării insuficiente a argumentelor în timpul execuției utilitarului extern.
- CVE-2021-35395 — o serie de vulnerabilități în interfețele web bazate pe servere http /bin/webs și /bin/boa. În ambele servere s-au identificat vulnerabilități tipice cauzate de absența verificării argumentelor înainte de a lansa utilitarele externe prin funcția system(). Diferențele se reduc doar la utilizarea API-urilor diferite pentru atac. Ambele gestionări nu includeau protecție împotriva atacurilor CSRF și tehnicile „DNS rebinding”, care permit efectuarea de solicitări dintr-o rețea externă, în cazul în care accesul la interfață este restricționat doar pentru rețeaua internă. În procese s-a folosit de asemenea, implicit, un cont predefinit de supervisor/supervisor. În plus, la gestionări s-au descoperit mai multe overflow-uri de stivă, care apar la trimiterea unor argumente de dimensiuni prea mari. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- De asemenea, se observă descoperirea încă unor vulnerabilități în procesul UDPServer. Se pare că una dintre probleme a fost deja identificată de alți cercetători încă din 2015, dar nu a fost complet remediată. Problema este cauzată de absența unei verificări adecvate a argumentelor transmise funcției system() și poate fi exploatată prin trimiterea pe portul de rețea 9034 a unei linii de tip ‘orf;ls’. În plus, în UDPServer a fost identificată o suprascriere a buffer-ului din cauza utilizării nesigure a funcției sprintf, ceea ce poate fi, de asemenea, potențial folosit pentru atacuri.
Sursa: opennet.ro
