Sårbarheter i drivrutiner för WiFi-chips från Broadcom som möjliggör fjärrattacker mot systemet

I drivrutinerna för trådlösa Broadcom-chips identifierats fyra sårbarheten. I enklaste fall kan sårbarheter användas för fjärrutlösning av överbelastningsattacker, men det utesluts inte att det kan utvecklas exploateringar som tillåter en icke autentiserad angripare att köra sin kod med Linux-kärnans rättigheter genom att skicka särskilt formaterade paket.

Problem identifierades under reverse engineering av Broadcom-firmware. De sårbara chipen används i stor utsträckning i bärbara datorer, smartphones och olika konsumentenheter, från SmartTV till IoT-enheter. Särskilt Broadcom-chips används i smartphones från tillverkare som Apple, Samsung och Huawei. Det är anmärkningsvärt att Broadcom informerades om sårbarheterna redan i september 2018, men det tog cirka 7 månader att samordna med hårdvaruleverantörerna för att släppa korrigeringar.

Två sårbarheter påverkar interna firmware och potentiellt möjliggör körning av kod inom operativsystemet för Broadcom-chips, vilket gör det möjligt att attackera miljöer som inte använder Linux (till exempel har attacker på Apple-enheter bekräftats, CVE-2019-8564). Vi påminner om att vissa Wi-Fi-chips från Broadcom är specialiserade processorer (ARM Cortex R4 eller M3), på vilka en liknande operativsystem körs med implementationen av sin trådlösa 802.11-stack (FullMAC). I sådana chips säkerställer drivrutinen interaktionen mellan huvudsystemet och Wi-Fi-chipets firmware. För att få full kontroll över huvudsystemet efter att FullMAC komprometterats föreslås att man använder ytterligare sårbarheter eller, på vissa chips, utnyttjar full åtkomst till systemminnet. På chips med SoftMAC är den trådlösa 802.11-stacken implementerad på drivrutinsidan och körs med hjälp av system-CPU.

I drivrutinerna uppträder sårbarheterna både i den proprietära drivrutinen wl (SoftMAC och FullMAC) och i den öppna brcmfmac (FullMAC). I drivrutinen wl har två buffertöverskridanden upptäckts, som utnyttjas vid överföring av specifikt formaterade EAPOL-meddelanden under anslutningsförhandlingen (en attack kan utföras när man ansluter till en skadlig accesspunkt). I fallet med chipet med SoftMAC leder sårbarheterna till kompromettering av systemkärnan, medan kod kan exekveras på firmware-sidan i FullMAC. I brcmfmac finns buffertöverskridanden och felaktig validering av behandlade ramar, utnyttjade genom att skicka kontrollramar. I Linux-kärnan finns problem i drivrutinen brcmfmac. funnits lösta i februari.

Upptäckta sårbarheter:

• CVE-2019-9503 — felaktigt beteende hos drivrutinen brcmfmac vid behandling av kontrollramar som används för interaktion med firmware. Om en ram med firmwarehändelse kommer från en extern källa avvisar drivrutinen den, men om händelsen tas emot via den interna bussen passerar ramen. Problemet är att händelser från enheter som använder USB överförs via den interna bussen, vilket gör att angripare framgångsrikt kan sända kontrollramar till firmware om trådlösa adaptrar med USB-gränssnitt används;
• CVE-2019-9500 — när funktionen "Wake-up on Wireless LAN" aktiveras kan en heap-överskridning i drivrutinen brcmfmac (funktionen brcmf_wowl_nd_results) utlösas genom att skicka en speciellt modifierad kontrollram. Denna sårbarhet kan användas för att organisera kodexekvering i det primära systemet efter kompromettering av chipet eller i kombination med sårbarheten CVE-2019-9503 för att kringgå valideringar i fallet med fjärröverföring av kontrollramar;
• CVE-2019-9501 — buffertöverskridande i drivrutinen wl (funktionen wlc_wpa_sup_eapol) som uppstår vid behandling av meddelanden vars innehåll fältet med tillverkarinformation överskrider 32 byte;
• CVE-2019-9502 — buffertöverskridande i drivrutinen wl (funktionen wlc_wpa_plumb_gtk) som uppstår vid behandling av meddelanden vars innehåll fältet med tillverkarinformation överskrider 164 byte.

Källa: opennet.ru