V komponentách Realtek SDK, ktoré používajú rôzni výrobcovia bezdrôtových zariadení vo svojich firmvéroch, boli zistené štyri zraniteľnosti, ktoré umožňujú neautentifikovanému útočníkovi vzdialene vykonať kód na zariadení s vyššími oprávneniami. Podľa predbežného odhadu sa tieto problémy týkajú najmenej 200 modelov zariadení od 65 rôznych dodávateľov, vrátane rôznych modelov bezdrôtových smerovačov Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE a Zyxel.
Problém sa týka rôznych tried bezdrôtových zariadení na báze SoC RTL8xxx, od bezdrôtových smerovačov a zosilňovačov Wi-Fi, až po IP kamery a inteligentné zariadenia na ovládanie osvetlenia. V zariadeniach založených na čipoch RTL8xxx sa používa architektúra, ktorá predpokladá inštaláciu dvoch SoC – na prvom sa nachádza firmvér výrobcu založený na Linuxe, zatiaľ čo na druhom beží samostatné obmedzené Linuxové prostredie s implementáciou funkcií prístupového bodu. Zloženie druhého prostredia je založené na typových komponentoch, ktoré poskytuje spoločnosť Realtek v SDK. Tieto komponenty okrem iného spracovávajú dáta, ktoré prichádzajú v dôsledku zasielania externých požiadaviek.
Zraniteľnosti sa týkajú produktov, v ktorých sa používajú Realtek SDK v2.x, Realtek "Jungle" SDK v3.0-3.4 a Realtek "Luna" SDK do verzie 1.3.2. Oprava už bola vydaná v aktualizácii Realtek "Luna" SDK 1.3.2a a pripravujú sa na publikáciu záplaty pre Realtek "Jungle" SDK. Pre Realtek SDK 2.x sa opravy plánujú nevydávať, pretože podpora tejto vetvy už bola ukončená. Pre všetky zraniteľnosti sú k dispozícii funkčné prototypy exploitov, ktoré umožňujú dosiahnuť vykonanie vlastného kódu na zariadení.
Zistené zraniteľnosti (prvým dvom bol pridelený stupeň nebezpečenstva 8.1, ostatným 9.8):
- CVE-2021-35392 – pretečenie vyrovnávacej pamäte v procesoch mini_upnpd a wscd, realizujúcich funkčnosť "WiFi Simple Config" (mini_upnpd spracováva pakety SSDP a wscd okrem podpory SSDP zabezpečuje obsluhu požiadaviek UPnP na báze protokolu HTTP). Útočník môže dosiahnuť vykonanie svojho kódu zaslaním špeciálne formulovaných UPnP požiadaviek "SUBSCRIBE" s príliš veľkou hodnotou čísla portu v poli "Callback". SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — zraniteľnosť v spracovateľoch „WiFi Simple Config“, ktorá sa prejavuje pri používaní protokolu SSDP (používa UDP a formát požiadaviek podobný HTTP). Problém je spôsobený použitím pevného bufferu s veľkosťou 512 bajtov pri spracovaní parametra „ST:upnp“ v správach M-SEARCH odosielaných klientmi na zistenie prítomnosti služieb v sieti.
- CVE-2021-35394 — zraniteľnosť v procese MP Daemon, ktorý zodpovedá za vykonávanie diagnostických operácií (ping, traceroute). Problém umožňuje nahradenie vlastnými príkazmi z dôvodu nedostatočnej kontroly argumentov pri vykonávaní vonkajších utilít.
- CVE-2021-35395 — séria zraniteľností v webových rozhraniach založených na http-serveroch /bin/webs a /bin/boa. V oboch serveroch zistili sa typické zraniteľnosti spôsobené absenciou kontroly argumentov pred spustením vonkajších utilít funkciou system(). Rozdiely sa týkajú len využitia rôznych API na útok. Obe spracovateľské moduly nezahŕňali ochranu proti útokom CSRF a technikám "DNS rebinding", ktoré umožňujú organizovať odosielanie požiadaviek z vonkajšej siete pri obmedzení prístupu k rozhraniu iba pre vnútornú sieť. V procesoch sa taktiež predvolene používal preddefinovaný účet supervisor/supervisor. Okrem toho boli v spracovateľských moduloch identifikované viaceré pretečenia zásobníka, ktoré sa prejavili pri odosielaní argumentov príliš veľkej veľkosti. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Ďalej sa zaznamenáva zistenie niekoľkých ďalších zraniteľností v procese UDPServer. Ako sa ukázalo, jedna z problémov už bola objavená inými výskumníkmi už v roku 2015, ale nebola úplne opravená. Problém je spôsobený absenciou riadneho overovania argumentov odovzdávaných funkcii system() a môže byť zneužitý odoslaním na sieťový port 9034 reťazca typu ‘orf;ls’. Okrem toho bol v UDPServer zistený pretlak buffera z dôvodu nebezpečného použitia funkcie sprintf, čo môže byť potenciálne použité na vykonávanie útokov.
Zdroj: opennet.ru
