Непоправениот пропуст во Broadcom Wi-Fi им овозможува на напаѓачите во близина да извршуваат код со root-пристап на рутерите

Безбедносен пропуст во софтверот за конфигурирање на Wi-Fi на Broadcom им овозможува на напаѓачите што се наоѓаат во радио-досег да извршуваат код со root-привилегии на рутери базирани на Broadcom, без да им биде потребна лозинката за мрежата или каков било процес на спарување. Ова го откри безбедносниот истражувач Квентин Кајзер на 16 октомври.

Тој демонстрирал дека нападот функционира врз домашни мрежни уреди што ги обезбедуваат три белгиски интернет-провајдери. Во еден случај успеал да ја прочита Wi-Fi лозинката од самиот уред, а во друг да отвори далечинска командна линија преку безжичната врска.

Според Кајзер, за пропустот сè уште не е доделен CVE-идентификатор, а на погодените рутери не е инсталирана никаква безбедносна поправка.

Пропустот се наоѓа во верзијата на Broadcom на технологијата Wi-Fi Protected Setup (WPS), која овозможува поврзување уред со Wi-Fi мрежа без рачно внесување на лозинката.

Кодот на Broadcom неправилно ги обработува повторното составување и реконструкцијата на фрагментираните WPS-пораки за конфигурирање. Поради тоа, напаѓач што се наоѓа во близина може да испрати специјално изработени пораки што ја оштетуваат меморијата на рутерот. Потоа, Кајзер развил две можности за експлоатација: начин за читање на меморијата на уредот и начин за извршување сопствен код на него.

При напад врз мрежен уред Askey TCG3000, обезбеден од Orange Belgium, експлоатацијата ја прочитала Wi-Fi лозинката (PSK) од зачуваните поставки на рутерот, ја испратила безжично, а потоа ја искористила за поврзување со мрежата.

При напад врз уредот BBOX3V+ на Sagemcom, обезбеден од Proximus, експлоатацијата отворила обратна командна линија (reverse shell) — далечински интерфејс за извршување команди што се пренесувале преку Wi-Fi-пакети. На овој начин не бил потребен надворешен сервер.

Двата напада функционирале без најавување на уредот, а нападот може да се изврши и од одредена далечина, а не само од непосредна близина, наведува Кајзер. Тој не пријавил вистински напади во кои бил искористен овој пропуст. Функционалните експлоатации што ги демонстрирал се негово сопствено дело.

Што е опфатено

WPS-кодот на Broadcom е вграден во рутери и пристапни точки од десетици производители, а Кајзер проценува дека ширум светот се засегнати милиони уреди.

Ранливите чипови припаѓаат на две семејства:

• Постари модели базирани на eCos — BCM3380, BCM3383 и BCM33834. Кај нив не е пронајдена функционална поправка, па истражувачот го нарекува пропустот траен проблем, односно „forever day“ — безбедносен пропуст што никогаш нема да биде поправен на тие уреди.
• Понови модели базирани на Linux — BCM3390, BCM65xx и BCM68xx. Кај нив проблемот би можел да се поправи доколку производителите преминат на друг софтвер за Wi-Fi.

Во Белгија, Кајзер утврдил дека пропустот е присутен и може да се искористи кај мрежните уреди на три од четирите најголеми провајдери: Proximus, Orange Belgium и VOO. Можно е да биде засегнат и четвртиот провајдер, Telenet, но истражувачот не успеал да тестира негов уред.

Поширокиот список што го објавил, кој опфаќа од Cisco пристапни точки за мали бизниси до рутери од Huawei и ARRIS, содржи и потврдени и непотврдени случаи. Некои од нив се засноваат на автоматизирана проверка што само означува дека уредот е „веројатно ранлив“.

Според Кајзер, бројот на засегнати мрежни уреди кај секој белгиски провајдер достигнува стотици илјади, но станува збор за приближни процени.

Зошто нема безбедносна поправка и CVE-идентификатор?

Пропустот е стар. Кајзер го следи кодот најмалку до 2010 година и наведува дека Broadcom испорачал нецелосна поправка во 2018 година. Потоа, компанијата им препорачала на клиентите да преминат на друг софтверски пакет за Wi-Fi, наречен hostapd, наместо да се потпираат на таа поправка.

Кај постарите eCos-чипови, според него, никогаш не била испорачана функционална поправка. Токму затоа го нарекува пропустот „forever day“ — ранливост што трајно ќе остане неисправена.

За пропустот не е доделен CVE, односно единствен идентификатор што им овозможува на безбедносните тимови и производителите да следат и да разменуваат информации за конкретна ранливост.

Кајзер наведува дека Broadcom му соопштил оти е запознаен со грешката уште од 2018 година и дека добил информации за неа и од други извори. Сепак, компанијата одбила да регистрира CVE и јавно да се огласи, што, според неговото мислење, е причината поради која многу производители на уреди никогаш не го поправиле проблемот.

Кога случајот го пријавил во Центарот за координација на CERT (CERT Coordination Center), пријавата била затворена истиот ден. Причината била тоа што Broadcom има овластување да доделува CVE-идентификатори за своите производи, но одбил да го направи тоа.

Според The Hacker News, до 19 октомври не бил пронајден CVE-идентификатор за овој пропуст.

Што можат да направат безбедносните тимови?

Во моментов нема безбедносна поправка што може да се инсталира, ниту пак Кајзер наведува поставка што целосно го блокира овој напад преку безжичната врска.

Наместо тоа, тој нуди алатки за откривање на потенцијално засегнатите уреди:

• YARA-правила — алатки што можат да го идентификуваат ранливиот код во извлечените фирмвери (firmware).
• Скрипта за проверка — алатка што ги следи податоците од активна безжична пристапна точка и известува дали уредот изгледа ранлив.

Кајзер нагласува дека овие алатки служат за првична процена. Дури и уред што веќе е поправен може да одговара на YARA-правилата. Затоа, позитивниот резултат е причина за дополнителна проверка, а не конечна потврда дека уредот е ранлив.

За уредите што никогаш нема да добијат поправка, замената е најпрактичното решение.

Кајзер смета дека овој пропуст е особено погоден за напаѓачи кои сакаат да пристапат до целта преку блиска Wi-Fi мрежа, наместо преку интернет.

Слична техника користеле и руски државно поддржани хакери, кои успевале да навлезат во мрежи од локација преку улицата, искористувајќи блиски Wi-Fi мрежи за прикриен пристап.

Извори:

• The Hacker News – Unpatched Broadcom Wi-Fi Flaw Lets Attackers in Range Run Code as Root on Routers The Hacker News