Posté le février 5, 2021 à 12:28
LE MODULE WI-FI DE REALTEK PRÉSENTE DES CENTAINES DE FAILLES CRITIQUES
Les chercheurs en sécurité ont découvert des vulnérabilités dans le module Wi-Fi Realtek RTL8195A qui permet aux acteurs malveillants de contrôler les communications sans fil des appareils.
Vdoo, une entreprise israélienne de cybersécurité, a découvert cette vulnérabilité. Selon le blog de la société, le module concerné est un module Wi-Fi de faible puissance qui s’adresse aux utilisateurs d’appareils intégrés dans différents secteurs. Ces secteurs comprennent la sécurité, les jeux, les soins de santé, la maison intelligente, l’énergie, l’automobile et l’agriculture.
Le module utilise l’API « Ameba » de Realtek, qui permet aux développeurs de logiciels de communiquer via MGTT, mDNS, HTTP et Wi-Fi.
Bien que la faille n’ait été découverte que sur le module RTL8195A, les chercheurs en sécurité ont déclaré qu’il est également visible dans d’autres extensions du module, notamment RTL8710AF, RTL8711AF et RTL8711AM.
Cependant, Realtek a publié la mise à jour pour Ameba Arduino 2.0.8, fournissant des correctifs pour les 6 vulnérabilités que le chercheur a trouvées. « Un problème a été découvert sur les appareils Realtek avant la version 2.0.6 », a déclaré la société.
Le Stack Overflow à distance est la faille la plus critique
Les chercheurs ont présenté un scénario d’attaque potentielle, ajoutant qu’un acteur malveillant connaissant la phrase de passe du réseau Wi-Fi WPA2 peut lancer une attaque réussie sur les appareils.
Ils peuvent développer un AP malveillant en s’emparant de la clé de transit par paire (PTK) et du SSID du réseau et en connectant de force la cible au nouvel AP.
Parmi les six vulnérabilités découvertes par le chercheur, la plus critique est un Stack Overflow à distance, qui permet à un acteur malveillant de prendre le contrôle d’un module RTL8195. Le cybercriminel n’a pas nécessairement besoin du mot de passe du réseau Wi-Fi (PSK), que le module agisse comme client ou comme point d’accès Wi-Fi.
En outre, deux autres failles peuvent être exploitées par un cybercriminel sans le mot de passe, tandis que trois autres failles ont besoin du PSK du réseau avant de pouvoir être ouverts aux attaques.
La dernière version du module n’est pas concernée
Les chercheurs ont également déclaré que toutes les versions des modules construites après le 21 avril de l’année dernière ne sont pas affectées par les vulnérabilités. Ils ont également déclaré que les versions développées après mars 2020 sont à l’abri des exploits les plus critiques en matière de flux de cheminée, mais qu’elles doivent encore être mises à jour en raison d’autres failles.
Les correctifs pour les systèmes Ameba SDK concernés sont également disponibles sur le site de Realtek. Pour les utilisateurs qui ne sont pas en mesure de mettre à jour le micrologiciel de l’appareil, il leur a été conseillé d’empêcher l’exploitation de l’appareil en utilisant une forte phrase de passe privée WPA2.
Des centaines d’appareils éventuellement atteints
Le fondateur et directeur de la technologie de Cortex Insight, Stephen Kapp, a révélé que des centaines d’appareils ou plus pourraient faire fonctionner des modules matériels vulnérables, bien que cela dépende des fonctions de l’appareil.
Il a ajouté que la probabilité de voir une vulnérabilité dans les appareils IdO est élevée par rapport à d’autres systèmes. De ce fait, il est préférable de les traiter comme étant vulnérables et non sécurisés par défaut pour constituer des gardes de sécurité autour d’eux.
Mais le problème, selon M. Kapp, est qu’il n’y a aucun moyen pour les utilisateurs finaux de savoir si leurs appareils ont besoin d’une mise à jour. Par conséquent, le vendeur doit publier une mise à jour qui installe le micrologiciel corrigé sur l’appareil.
Les failles les plus critiques du module Realtek 8195A ne nécessitent aucune condition de connaître les mots de passe Wi-Fi pour pouvoir être exploitées. C’est parce qu’ils utilisent les appareils concernés pour avoir accès aux réseaux contenant l’appareil. Par conséquent, il est idéal d’assurer des contrôles au niveau du réseau pour réduire le risque que l’appareil soit utilisé comme une porte dérobée vers un environnement plus vaste, a ajouté M. Kapp.
Selon M. Kopp, le principal coupable est la vulnérabilité de débordement de tampon ou « buffer overflow » (CVE-2020-9395), qui donne à un attaquant proche l’accès pour exploiter le module RTL8195. L’attaquant peut également organiser une attaque par déni de service en profitant des vulnérabilités du dispositif et en permettant l’exécution de code arbitraire.
