I komponenterna i Realtek SDK, som anvÀnds av olika tillverkare av trÄdlösa enheter i sina firmware, har fyra sÄrbarheter identifierats som möjliggör för en obehörig angripare att fjÀrrstyra exekvering av kod pÄ enheten med förhöjda privilegier. Enligt preliminÀra uppskattningar pÄverkar problemen minst 200 modeller av enheter frÄn 65 olika leverantörer, inklusive olika modeller av trÄdlösa routrar frÄn Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE och Zyxel.
Problemet omfattar olika klasser av trĂ„dlösa enheter baserade pĂ„ SoC RTL8xxx, frĂ„n trĂ„dlösa routrar och Wi-Fi-förstĂ€rkare till IP-kameror och smarta enheter för ljusstyrning. I enheter baserade pĂ„ RTL8xxx-chips anvĂ€nds en arkitektur som innebĂ€r installation av tvĂ„ SoC â den första körs med tillverkarens Linux-firmware, medan den andra kör en separat nedbantad Linux-miljö för hotspot-funktioner. HĂ„rdvaran i den andra miljön baseras pĂ„ standardkomponenter som tillhandahĂ„lls av Realtek i SDK. De nĂ€mnda komponenterna hanterar bland annat data som kommer frĂ„n externa förfrĂ„gningar.
SÄrbarheterna pÄverkar produkter som anvÀnder Realtek SDK v2.x, Realtek "Jungle" SDK v3.0-3.4 och Realtek "Luna" SDK upp till version 1.3.2. En fix har redan slÀppts i uppdateringen av Realtek "Luna" SDK 1.3.2a, medan patchar för Realtek "Jungle" SDK förbereds för publicering. För Realtek SDK 2.x planeras inga patchar att slÀppas, eftersom underhÄllet av denna gren redan har upphört. För alla sÄrbarheter har fungerande prototyper av exploateringar tillhandahÄllits, vilket möjliggör exekvering av egen kod pÄ enheten.
De identifierade sÄrbarheterna (de första tvÄ har fÄtt en allvarlighetsgrad pÄ 8.1, medan de övriga har 9.8):
- CVE-2021-35392 â buffertöverskridning i processerna mini_upnpd och wscd, som implementerar funktionen "WiFi Simple Config" (mini_upnpd hanterar SSDP-paket, medan wscd, förutom stöd för SSDP, sköter hanteringen av UPnP-förfrĂ„gningar baserade pĂ„ HTTP-protokollet). En angripare kan Ă„stadkomma exekvering av sin kod genom att skicka specifikt formulerade UPnP-förfrĂ„gningar "SUBSCRIBE" med ett alltför stort vĂ€rde för portnumret i fĂ€ltet "Callback". SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 â en sĂ„rbarhet i "WiFi Simple Config"-hanterare som uppstĂ„r vid anvĂ€ndning av SSDP-protokollet (anvĂ€nder UDP och en begĂ€ran som liknar HTTP). Problemet orsakas av anvĂ€ndningen av en fast buffer pĂ„ 512 byte vid hantering av parametern "ST:upnp" i M-SEARCH-meddelanden som skickas av klienterna för att identifiera tjĂ€nster i nĂ€tverket.
- CVE-2021-35394 â en sĂ„rbarhet i MP Daemon-processen som ansvarar för att utföra diagnostiska operationer (ping, traceroute). Problemet möjliggör att anvĂ€ndarens egna kommandon kan injiceras pĂ„ grund av otillrĂ€cklig validering av argument vid körning av externa verktyg.
- CVE-2021-35395 â en serie sĂ„rbarheter i webbgrĂ€nssnitt baserade pĂ„ http-servrarna /bin/webs och /bin/boa. I bĂ„da servrar Typiska sĂ„rbarheter har upptĂ€ckts, orsakade av avsaknaden av argumentkontroll innan externa verktyg körs med funktionen system(). Skillnaderna handlar endast om anvĂ€ndningen av olika API:er för attacken. BĂ„da hanterarna inkluderade ingen skydd mot CSRF-attacker eller tekniker som "DNS rebinding", vilket gör det möjligt att skicka förfrĂ„gningar frĂ„n ett externt nĂ€tverk nĂ€r Ă„tkomsten till grĂ€nssnittet Ă€r begrĂ€nsad till endast interna nĂ€tverk. I processerna anvĂ€ndes som standard en fördefinierad anvĂ€ndarkonto supervisor/supervisor. Dessutom upptĂ€cktes flera stacköverflöden i hanterarna, som uppstĂ„r vid skickande av argument av för stor storlek. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=wlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Dessutom observeras att flera andra sÄrbarheter upptÀcktes i UDPServer-processen. En av problemen hade redan identifierats av andra forskare 2015, men blev inte helt ÄtgÀrdad. Problemet orsakas av bristande validering av argument som överförs till system()-funktionen och kan utnyttjas genom att skicka en strÀng av typen 'orf;ls' till nÀtverksport 9034. Dessutom upptÀcktes en buffertoverflow i UDPServer pÄ grund av osÀker anvÀndning av funktionen sprintf, vilket ocksÄ potentiellt kan anvÀndas för attacker.
KĂ€lla: opennet.ru
