Milyonlarca olduğu tahmin edilen bir çip (SOC) üzerindeki Realtek’in RTL819X sistemi ile ağ cihazlarını etkileyen kritik bir güvenlik açığı için istismar kodu yayınlandı.
Kusur CVE-2022-27255 olarak tanımlanır ve bir uzaktan saldırgan, yönlendiricilerden ve erişim noktalarından sinyal tekrarlayıcılarına kadar çeşitli orijinal ekipman üreticilerinden (OEM) savunmasız cihazlardan ödün vermek için onu kullanabilir.
Kullanıcı etkileşimi gerekmez
Arjantin'deki Siber Güvenlik Şirketi Faraday Security'den araştırmacılar, Realtek’in açık kaynaklı ECOS işletim sistemi için SDK'sındaki kırılganlığı keşfetti ve geçen hafta Defcon Hacker Konferansı'nda teknik detayları açıkladı.
Güvenlik açığını bulmakla tanınan dört araştırmacı (Octavio Giana Time, Octavio Galland, Emilio Couto, Javier Aguinaga) Buenos Aires Üniversitesi'ndeki bilgisayar bilimi öğrencileridir.
Sunumları, bir hedef seçmekten ürün yazılımını analiz etmeye ve güvenlik açığından yararlanmaya ve diğer ürün yazılımı görüntülerindeki algılamayı otomatikleştirmeye kadar güvenlik sorununun bulunmasına yol açtı.
CVE-2022-27255, uzak saldırganların kötü niyetli SDP verileri ile özel hazırlanmış SIP paketleri kullanarak kimlik doğrulaması yapmadan kod yürütmesini sağlayan 10 üzerinden 9,8'lik bir şiddet puanı olan yığın tabanlı bir tampon taşmasıdır.
Realtek, Mart ayında RTL819X-ECOS-V0.X serisini ve RTL819X-ECOS-V1.X serisini etkilediğini ve bir WAN arayüzü aracılığıyla kullanılabileceğini belirterek sorunu ele aldı.
Faraday Security'den dört araştırmacı, Nexxt Nebula 300 artı yönlendiriciler üzerinde çalışan CVE-2022-27255 için Konsept Kanıtı (POC) istismar kodu geliştirmiştir.
Ayrıca, uzaktan yönetim özellikleri kapalı olsa bile, uzak bir saldırganın cihazı tehlikeye atabileceğini gösteren bir video paylaştılar.
Araştırmacılar, CVE-2022-27255'in sıfır-tıkalı bir güvenlik açığı olduğunu, yani sömürünün sessiz olduğu ve kullanıcıdan etkileşim gerektirmediğini belirtiyor.
Bu güvenlik açığından yararlanan bir saldırganın yalnızca savunmasız cihazın harici IP adresine ihtiyacı olacaktır.
Sans'taki araştırma dekanı Johannes Ullrich, uzak bir saldırganın aşağıdaki eylemler için güvenlik açığından yararlanabileceğini söylüyor:
Ullrich, CVE-2022-27255 için bir istismar bir solucana dönüşürse, birkaç dakika içinde internete yayılabileceği konusunda uyarır.
Mart ayından bu yana mevcut bir yama olmasına rağmen, Ullrich güvenlik açığının "birçok (milyonlarca) cihaz" etkilediği ve bir düzeltmenin tüm cihazlara yayılması olası olmadığını uyarıyor.
Bunun nedeni, birden fazla satıcının RTL819X SOC'lerine dayalı ekipman için savunmasız Realtek SDK'yı kullanması ve birçoğunun henüz bir ürün yazılımı güncellemesi yayınlamamasıdır.
Kaç ağ cihazının RTL819X yongaları kullandığı belirsizdir, ancak 60'tan fazla satıcıdan ürünlerde SOC'nin RTL819xd sürümü mevcuttur. Bunlar arasında Asustek, Belkin, Buffalo, D-Link, Etimax, Trendnet ve Zyxel.
Araştırmacı şöyle diyor:
Ulrich burada POC istismarını tespit edebilecek bir snort kuralı yarattı. "M = ses" dizesi ile "davet" mesajları arar ve 128'den fazla bayt (Realtek SDK tarafından tahsis edilen arabelleğin boyutu) olduğunda ve hiçbiri bir taşıma dönüşü değilse tetikler.
Kullanıcılar, ağ ekipmanlarının savunmasız olup olmadığını kontrol etmeli ve varsa Mart ayından sonra piyasaya sürülen satıcıdan bir ürün yazılımı güncellemesi yüklemelidir. Bunun dışında kuruluşlar istenmeyen UDP taleplerini engellemeye çalışabilirler.
Bu GitHub deposunda, istismarlarla birlikte DEFCon sunumu için slaytlar ve CVE-2022-27255 için bir algılama komut dosyası mevcuttur.
Cisa, vahşi doğada sömürülen pencereler ve unrar kusurları konusunda uyarıyor
Kritik RCE Güvenlik Açığı Draytek yönlendiricilerinin 29 modelini etkiler
Cisco, VPN yönlendiricilerindeki kritik uzaktan kumanda yürütme hatasını düzeltir
PHP Web Kabuklarını Yüklemek İçin Büyük Kampanyada Hacklenen Elastix VoIP Systems
Şüpheli fidye yazılımı saldırısında bilgisayar korsanları tarafından kullanılan Mitel Zero-Day
Kaynak: Bleeping Computer