CVE-2022-24611

Details zum Z-Wave S0-No-More-Angriff. Eine vollständige Analyse und einen Bericht, wie dies funktioniert und wie die Ergebnisse reproduziert werden können, finden Sie in der beigefügten PDF-Datei.

Kurzbeschreibung:

Denial-of-Service-Angriff gegen S0- und S2-Geräte (getestet mit der Z- Wave ZW5xx-Produktlinie), hier speziell Z-Wave-fähige Ama- zon Ring Gen. 1-Geräte. Ein Angreifer kann die S0-NonceGet- Anfrage verwenden, um kontinuierlich eine minimale Anzahl von Nonce-Anfragen (1 pro 2 Sekunden) an das Z-Wave-Gateway zu senden, wodurch es effektiv blockiert wird, während des Angriffs keine neuen Nonces an andere Geräte auszugeben. Dies liegt an der Z-Wave-Spezifikation, die von einem Teilnehmer verlangt, mindestens 3 bis zu 20 Sekunden auf die Antwort des Geräts zu warten, das die Nonce angefordert hat, und an der Tatsache, dass der Angreifer jedes Gerät im Netzwerk spoofen kann. Dieser Angriff basiert auf einer spoofbaren Geräte-NodeID und daher einem Gerät, das erfolgreich inkludiert wurde, aber während des Angriffs offline ist. Dies schließt Geräte ein, die nicht korrekt über die Smartphone-App ausgeschlossen wurden, z. B. eine intelligente Steckdose. Dieser Angriff kann verwendet werden, um gezielt bestimmte Netzwerke anzugreifen, während andere unberührt bleiben, und benötigt nur eine minimale Anzahl von Paketen im Vergleich zu Jamming-Angriffen, um einen Controller / ein Gerät zu blockieren.

Schwachstellentyp:

DoS

Anbieter des Produkts:

Silicon Labs (Hersteller des Z-Wave ZW5xx SoC, der im getesteten spezifischen Produkt verwendet wird)

Spezifisches getestetes Produkt:

(Amazon) Ring Alarm Security Kit, 5-teilig

Betroffene Produktcodebasis:

Unbekannt, betrifft sowohl S0- als auch S2-Z-Wave-Netzwerke der 5. Generation der Z-Wave-Spezifikation; S2 nur, wenn S0-Verbindungen, insbesondere S0- NonceGet, vom Gateway erlaubt werden.

Angriffsart:

Lokaler Angriff, der Angreifer muss sich in Reichweite des Z-Wave-Netzwerks des Opfers befinden.

Auswirkung:

Vollständiger Denial-of-Service gegen das Zielnetzwerk, wodurch es für die Dauer des Angriffs unbrauchbar wird. Das Netzwerk nimmt seinen Betrieb nach dem Angriff ohne erkennbare Spuren wieder auf. Es scheint keine Begrenzung der Angriffsdauer zu geben. Der Angriff benötigt nur eine minimale Anzahl von Paketen, um den Blockierungsprozess zu starten. Der Controller bleibt blockiert, bis alle Anfragen in seinem eingehenden Puffer ausgelaufen sind, selbst wenn der Angreifer keine weiteren Pakete mehr sendet.