Quentin Kaiser biztonsági kutató olyan sérülékenységet hozott nyilvánosságra, amely egyes Broadcom-alapú routereken lehetővé teszi, hogy egy Wi-Fi-hatótávon belül tartózkodó, hitelesítés nélküli támadó kódot futtasson. A bemutatók során a kutató kiolvasta egy Orange Belgium által használt átjáró vezeték nélküli hálózati jelszavát, egy Proximus-routeren pedig parancssori hozzáférést szerzett.
Az október 16-án publikált kutatás a Broadcom saját vezeték nélküli szoftverét alkalmazó hálózati eszközök potenciálisan jelentős kitettségére világít rá. Kaiser közlése szerint az általa azonosított belgiumi átjárók október 15-én még nem kaptak javítást. A nyilvánosságra hozott levelezésben ugyanakkor a Broadcom azt állította, hogy már rendelkezésre áll a problémát elkerülő szoftver. Az ügy egyik központi kérdése ezért az, hogy az alkatrészszállítónál elérhető megoldás mikor és hogyan jut el a ténylegesen használt készülékekre. Quentin Kaiser kutatói beszámolója
A WPSplinter néven ismertté vált hibához október 19-ig nem tartozott CVE-azonosító. A kutató tájékoztatása szerint a Broadcom az érintett szoftver elavultságára és lejárt támogatására hivatkozva nem kezdeményezett CVE-azonosítást. Az áttekintett közlések nem számoltak be a sérülékenységet kihasználó, valós támadási kampányról. A sikeres kutatói demonstrációk ezért nem tekinthetők aktív támadások bizonyítékának. A WPSplinter kutatói oldala
A vezeték nélküli beállítást segítő szoftver vált támadási felületté
A kutatás a Wi-Fi Protected Setup, röviden WPS Broadcom-féle megvalósítását érinti. A WPS célja, hogy az eszközök a vezeték nélküli hálózat jelszavának kézi megadása nélkül is csatlakoztathatók legyenek.
Kaiser Hexacon-előadása az eCos- és Linux-alapú platformokon feldolgozott, darabolt WPS-üzenetek kezelésének problémáit ismerteti. A hibás feldolgozás memóriasérüléshez vezethet, amely információk kiolvasását és kódfuttatást is lehetővé tehet.
A biztonsági következmény abból adódik, hogy a router már azelőtt feldolgozza a támadó által küldött vezeték nélküli adatokat, hogy befejeződne a szokásos WPS-regisztráció, vagy a támadó megadná a hálózati kulcsot. A védekezés szempontjából így a jelszó erőssége mellett az is meghatározó, hogy biztonságosan működik-e a kapcsolódási kéréseket kezelő szoftver. A kutató kifejezetten a hálózati kulcs ismerete nélküli kihasználást mutatta be. A Hexacon-előadás prezentációja
Az érintett telepítéseknél ebből az következik, hogy a Wi-Fi-jelszó megváltoztatása önmagában nem szünteti meg a szoftverhibát. A megfelelő jelszókezelés továbbra is fontos, de nem helyettesíti a sérülékeny megvalósítás kijavítását.
A bemutatók jelszólopást és a router feletti irányítás megszerzését igazolták
Az Orange Belgium eszközén végzett demonstráció egy Askey TCG3000 átjárót célzott. Kaiser a megszerzett kódfuttatási lehetőséggel kiolvasta a készülékben tárolt Wi-Fi-jelszót, majd a visszanyert hitelesítő adattal csatlakozott a hálózathoz.
A Proximus BBOX3V+ készülékén bemutatott külön támadás olyan parancssori hozzáférést hozott létre, amely vezeték nélküli kereteken keresztül kommunikált. A két demonstráció leírása
A két eredmény eltérő biztonsági problémát szemléltet. A hitelesítő adat megszerzése utat nyithat a helyi hálózatba. Magának az átjárónak az irányítása ennél szélesebb bizalmi kérdést vet fel: a hálózati forgalmat továbbító eszköz a támadó utasításai szerint működhet.
A lehetséges következmények a router képességeitől, beállításaitól és a környező hálózattól függnek. Ide tartozhat a kapcsolat működésének megzavarása, a hálózati konfiguráció módosítása vagy további rendszerek elérésének kísérlete. Ezek az átjáró kompromittálásából következő kockázatok, nem a publikált kutatásban külön igazolt további eredmények.
A router feletti irányítás megszerzése ugyanakkor nem jelenti automatikusan minden alkalmazásforgalom olvashatóságát. Az egyes kommunikációk védettségét a saját titkosításuk, hitelesítési megoldásaik és az érintett végpontok állapota is befolyásolja.
A javítás helyzete összetettebb annál, hogy „nincs megoldás”
Az ügy egyik legfontosabb részlete a Kaiser prezentációjában közzétett Broadcom-levelezésben szerepel.
Eszerint a Broadcom már több éve kínál ügyfeleinek olyan frissített szoftvert, amely nem tartalmazza a sérülékenységet. A vállalat közlése szerint a régi, WPS Monitorra épülő megvalósítást elavulttá nyilvánították, és 2018-tól megkezdték a lecserélését egy hostapd- és wpa_supplicant-alapú megoldásra.
Ez a gyártói álláspont a kutató által közzétett anyagból ismerhető meg; nem egy külön beszerzett Broadcom-nyilatkozatról van szó. A Broadcom válaszát tartalmazó prezentáció
A különbség lényeges. Egy szoftverkomponens szállítója biztosíthat javított vagy helyettesítő megoldást úgy is, hogy a késztermékek továbbra is sérülékenyek maradnak, mert a gyártó vagy az internetszolgáltató nem építette be és nem juttatta el hozzájuk a módosítást.
Az ügyfeleknek ezért több különálló kérdésre kell választ kapniuk: tartalmazza-e az adott modell az érintett komponenst, létezik-e megoldás ahhoz a hardverhez, beépítette-e azt a gyártó, és ténylegesen települt-e a javított firmware.
A hostapd dokumentációja szerint a szoftver vezeték nélküli hozzáférésipont- és hitelesítési funkciókat kezel, többek között WPA2-, WPA3-, EAP- és WPS-támogatással. Egy másik megvalósításra való áttérés ezért a készülék vezeték nélküli és hitelesítési szoftverének firmware-szintű integrációját igényli. Nem egyenértékű egy szokásos beállítás átállításával a router kezelőfelületén. A hostapd dokumentációja
A Broadcom hardver önmagában nem bizonyítja az érintettséget
A kutatás jelentősége túlmutat egyetlen routermárkán, de nem igazolja, hogy minden Broadcom-hardvert tartalmazó készülék sérülékeny.
Kaiser prezentációjában franciaországi, javított és nem javított eszközökről szóló megfigyelések egyaránt szerepelnek. Ez is azt mutatja, hogy a tényleges szoftveres megvalósítás a döntő: a lapkakészlet gyártójából önmagában nem állapítható meg egy adott átjáró kitettsége. A kutatás eszközökre vonatkozó megfigyelései
A nyilvános kutatói kódtár folyamatosan bővülő eszközlistát, valamint a firmware-ek és működő vezeték nélküli hozzáférési pontok vizsgálatát segítő eszközöket tartalmaz. A dokumentáció kifejezetten jelzi, hogy a lista nem teljes. A Broadcom WPS vizsgálati eszköztára
A szervezetek számára ezért részletes eszköznyilvántartás szükséges. A „Broadcom-alapú router” megjelölésnél lényegesen többet mond a pontos gyártó, modell, hardverváltozat, firmware-verzió és a frissítésekért felelős szolgáltató azonosítása.
Ugyanez a körültekintés szükséges az érintett eszközök számára vonatkozó becsléseknél. A potenciálisan nagy készülékállományról szóló állítások nem tekinthetők igazoltan feltört eszközök számlálásának.
A felismerő eszközök támpontot adnak, de nem zárják le a vizsgálatot
A közzétett eszköztár két megközelítést kínál: YARA-szabályokat a kinyert firmware-ek elemzéséhez, valamint egy működő vezeték nélküli hozzáférési pontok azonosítására szolgáló szkriptet.
A dokumentáció szerint a firmware-alapú felismerés előzetes szűrésre használható. A fordítási eltérések miatt előfordulhat, hogy a szabályok nem találnak meg egy érintett változatot. Másrészt a javított szoftver is megtarthat olyan szövegeket vagy kódmintákat, amelyeket a felismerő azonosít. A találatok ezért forráskód-vizsgálatot vagy kézi ellenőrzést igényelhetnek.
A működő eszközök vizsgálata a régebbi Broadcom WPS-megvalósítás és a hostapd viselkedésének megkülönböztetésére is szolgál. Ez több információt ad a hardvergyártó egyszerű azonosításánál, de az előzetes besorolást továbbra is az adott firmware-hez kell kapcsolni. Az eszköztár dokumentációja
Egyetlen vizsgálati eredmény tehát nem helyettesíti a teljes értékelést. A pozitív találat megerősítést és javítási egyeztetést indokol; a nyilvános listáról való hiányzás pedig nem bizonyítja, hogy a router biztonságos.
A közeli vezeték nélküli támadásoknak van valós előzményük
A vezeték nélküli hatótávolság követelménye korlátozza a sérülékenység közvetlen elérhetőségét. Ez más kitettséget jelent, mint egy internet felől hozzáférhető kezelőfelület: azt kell megvizsgálni, honnan hozható létre rádiós kapcsolat a készülékkel.
A Volexity egy külön vizsgálata bemutatta, miért fontos ez a megkülönböztetés. A Nearest Neighbor Attack néven ismertetett, orosz kötődésű behatolás során a támadók közeli szervezetek rendszereit kompromittálták, majd egy ottani számítógép vezeték nélküli adapterével csatlakoztak a tényleges célpont vállalati Wi-Fi-hálózatához. A Volexity vizsgálata
Az a művelet érvényes hitelesítő adatokra épült, és nem kapcsolódott a WPSplinterhez. A párhuzam a hozzáférés módja: a távolról működő támadók egy már kompromittált eszközzel szereztek vezeték nélküli hozzáférési lehetőséget a célpont közelében.
A kockázatértékelés során ezért a rádiós közelséget támadási előfeltételként kell kezelni. Ez nem garantálja, hogy a támadónak személyesen is a helyszín közelében kell tartózkodnia.
Mit tegyenek a szervezetek és a routerek tulajdonosai?
Az elsődleges feladat a használatban lévő pontos eszköz és firmware állapotának tisztázása. Ehhez az alábbi lépések adhatnak gyakorlati keretet:
- Azonosítsák pontosan a készüléket. Rögzítsék a modellt, a hardverváltozatot, a firmware-verziót és a karbantartásért felelős szervezetet.
- Kérjenek egyértelmű beszállítói visszaigazolást. Tisztázzák, hogy a telepített firmware tartalmazza-e az érintett Broadcom WPS-megvalósítást, és melyik kiadás szünteti meg a problémát.
- Ellenőrizzék a javítás tényleges telepítését. Az alkatrészszállítónál elérhető frissítés nem bizonyítja, hogy az adott router is megkapta azt.
- Erősítsék meg a vizsgálati eredményeket. A kutatói eszközöket elemzési segédletként használják, szükség esetén további ellenőrzéssel.
- Tervezzenek cserét, ha nincs javítás. A már nem támogatott átjárókat vegyék figyelembe az eszközpark megújításakor.
- Vizsgálják felül a hálózati hozzáférési feltételezéseket. Mérjék fel, mit érhetne el egy kompromittált átjáró vagy jogosulatlan vezeték nélküli kliens, különösen kisebb irodákban és otthoni munkavégzési környezetben.
A rendszergazdáknak modellspecifikus bizonyítékot kell kérniük, mielőtt egy konfigurációs változtatást teljes körű kerülőmegoldásnak tekintenek. Különösen fontos, hogy a kezelőfelületen kikapcsolt WPS önmagában nem bizonyítja a sérülékeny üzenetfeldolgozó kód teljes elérhetetlenségét. A kutató útmutatása a WPS kikapcsolásáról
Ezek a lépések a nyilvánosságra hozott kutatásból következő kockázatkezelési ajánlások. Nem jelentik azt, hogy mindegyik intézkedés önmagában kijavítja a sérülékenységet.
A firmware-karbantartás felelősségi próbája
A gyártók és az internetszolgáltatók számára az ügy egyértelmű felelősségi kérdést vet fel: képesek-e azonosítani az érintett ügyfeleket, és bizonyítani, hogy működő megoldás jutott el a készülékeikre?
A felhasználók számára a konkrét, ellenőrizhető biztosíték a leghasznosabb: támogatott készülékmodell, megnevezett firmware-kiadás, valamint visszaigazolás arról, hogy a sérülékeny komponenst kijavították vagy lecserélték.
A szélesebb probléma a szoftverkomponensek karbantartása és a használatban lévő termékek karbantartása közötti eltérés. Egy router továbbra is megbízható internetkapcsolatot biztosíthat úgy, hogy közben olyan biztonsági hibát tartalmaz, amelyet tulajdonosa alig tud megvizsgálni vagy kijavítani.
Ennek megszüntetéséhez a gyártóknak és a szolgáltatóknak a komponensszinten elérhető megoldásokat a ténylegesen használt eszközök védelmévé kell alakítaniuk.
Eredeti cím: Critical Broadcom Wi-Fi Flaw Exposes Routers To Takeover Without A Network Password
