I komponenterna i Realtek SDK, som används av olika tillverkare av trådlösa enheter i sina firmware, har fyra sårbarheter identifierats som möjliggör för en obehörig angripare att fjärrstyra exekvering av kod på enheten med förhöjda privilegier. Enligt preliminära uppskattningar påverkar problemen minst 200 modeller av enheter från 65 olika leverantörer, inklusive olika modeller av trådlösa routrar från Asus, A-Link, Beeline, Belkin, Buffalo, D-Link, Edison, Huawei, LG, Logitec, MT-Link, Netgear, Realtek, Smartlink, UPVEL, ZTE och Zyxel.
Problemet omfattar olika klasser av trådlösa enheter baserade på SoC RTL8xxx, från trådlösa routrar och Wi-Fi-förstärkare till IP-kameror och smarta enheter för ljusstyrning. I enheter baserade på RTL8xxx-chips används en arkitektur som innebär installation av två SoC — den första körs med tillverkarens Linux-firmware, medan den andra kör en separat nedbantad Linux-miljö för hotspot-funktioner. Hårdvaran i den andra miljön baseras på standardkomponenter som tillhandahålls av Realtek i SDK. De nämnda komponenterna hanterar bland annat data som kommer från externa förfrågningar.
Sårbarheterna påverkar produkter som använder Realtek SDK v2.x, Realtek "Jungle" SDK v3.0-3.4 och Realtek "Luna" SDK upp till version 1.3.2. En fix har redan släppts i uppdateringen av Realtek "Luna" SDK 1.3.2a, medan patchar för Realtek "Jungle" SDK förbereds för publicering. För Realtek SDK 2.x planeras inga patchar att släppas, eftersom underhållet av denna gren redan har upphört. För alla sårbarheter har fungerande prototyper av exploateringar tillhandahållits, vilket möjliggör exekvering av egen kod på enheten.
De identifierade sårbarheterna (de första två har fått en allvarlighetsgrad på 8.1, medan de övriga har 9.8):
- CVE-2021-35392 — buffertöverskridning i processerna mini_upnpd och wscd, som implementerar funktionen "WiFi Simple Config" (mini_upnpd hanterar SSDP-paket, medan wscd, förutom stöd för SSDP, sköter hanteringen av UPnP-förfrågningar baserade på HTTP-protokollet). En angripare kan åstadkomma exekvering av sin kod genom att skicka specifikt formulerade UPnP-förfrågningar "SUBSCRIBE" med ett alltför stort värde för portnumret i fältet "Callback". SUBSCRIBE /upnp/event/WFAWLANConfig1 HTTP/1.1 Host: 192.168.100.254:52881 Callback: NT: upnp:event
- CVE-2021-35393 — en sårbarhet i "WiFi Simple Config"-hanterare som uppstår vid användning av SSDP-protokollet (använder UDP och en begäran som liknar HTTP). Problemet orsakas av användningen av en fast buffer på 512 byte vid hantering av parametern "ST:upnp" i M-SEARCH-meddelanden som skickas av klienterna för att identifiera tjänster i nätverket.
- CVE-2021-35394 — en sårbarhet i MP Daemon-processen som ansvarar för att utföra diagnostiska operationer (ping, traceroute). Problemet möjliggör att användarens egna kommandon kan injiceras på grund av otillräcklig validering av argument vid körning av externa verktyg.
- CVE-2021-35395 — en serie sårbarheter i webbgränssnitt baserade på http-servrarna /bin/webs och /bin/boa. I båda servrar выявлены типовые уязвимости, вызванные отсутствием проверки аргументов перед запуском внешних утилит функцией system(). Отличия сводятся только к использованию для атаки разных API. Оба обработчика не включали защиту от атаки CSRF и техники «DNS rebinding», позволяющей организовать отправку запросов из внешней сети при ограничении доступа к интерфейсу только для внутренней сети. В процессах также по умолчанию использовалась предопределённая учётная запись supervisor/supervisor. Кроме того, в обработчиках выявлено несколько переполнений стека, проявляющихся при отправке аргументов слишком большого размера. POST /goform/formWsc HTTP/1.1 Host: 192.168.100.254 Content-Length: 129 Content-Type: application/x-www-form-urlencoded submit-url=%2Fwlwps.asp&resetUnCfg=0&peerPin=12345678;ifconfig>/tmp/1;&setPIN=Start+PIN&configVxd=off&resetRptUnCfg=0&peerRptPin=
- Dessutom observeras att flera andra sårbarheter upptäcktes i UDPServer-processen. En av problemen hade redan identifierats av andra forskare 2015, men blev inte helt åtgärdad. Problemet orsakas av bristande validering av argument som överförs till system()-funktionen och kan utnyttjas genom att skicka en sträng av typen 'orf;ls' till nätverksport 9034. Dessutom upptäcktes en buffertoverflow i UDPServer på grund av osäker användning av funktionen sprintf, vilket också potentiellt kan användas för attacker.
Källa: opennet.ru
