CVE-2023-33768

[Beschreibung] Eine falsche Signaturverifizierung der Firmware während des Geräte-Firmware-Updates des Belkin Wemo Smart Plug WSP080 v1.2 ermöglicht es Angreifern, einen Denial of Service (DoS) durch eine manipulierte Firmware-Datei zu verursachen.

[Zusätzliche Informationen] Bei der Aktualisierung der Firmware des Wemo Smart Plug über die mobile App wurde festgestellt, dass eine ungültige Firmwaresignatur des Smart-Plug-Firmware-Binaries dazu führen kann, dass der Wemo Smart Plug nicht mehr reagiert (wird zum Brick).

Wir nutzen die Wemo Android App (com.belkin.wemoandroid) aus, um modifizierte Firmware in den Wemo Smart Plug einzuschleusen. Die originale Firmware befindet sich unter: http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. Wir ändern diese URL in der Wemo App, indem wir Code in die onResponse-Methode der Android Volley-Bibliothek injizieren. Wir ändern die URL so, dass sie auf ein Binary zeigt, bei dem wir ein Byte verändert haben. Konkret ändern wir das Binary wie folgt: @00124C90 (4. Zeile am Ende der Firmware-Datei) A3 E0 49 D5 geändert zu A3 E0 50 D5.

Wir bestätigen, dass das modifizierte Firmware an das Gerät gesendet wird, indem wir den Netzwerkverkehr zum Smart Plug abfangen. Nachdem die modifizierte Firmware vom Smart Plug empfangen wurde, reagiert der Stecker nicht mehr und kann nicht zurückgesetzt oder von der mobilen App erkannt werden.

[Schwachstellentyp] Denial of Service

[Hersteller des Produkts] Belkin

[Betroffene Produktcodebasis] Wemo Smart Plug WSP080 - Wemo Android App (com.belkin.wemoandroid) (1.2)

[Betroffene Komponente] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[Angriffsart] Remote

[Angriffsvektoren] Dieser Angriff kann durchgeführt werden, indem lediglich mindestens ein Byte des Firmware-Binaries an irgendeinem Punkt während der Übertragung des Firmware-Binaries an den Smart Plug geändert wird. Dies kann erfolgen, wenn die Firmware auf das mobile Gerät oder den MQTT-Server heruntergeladen wird oder während des Transits über ein beliebiges Netzwerk.

Schritte

1. Hoste die Datei crafted_firmware_tz.bin.enc auf einem Webserver.
2. Ersetze die originale Firmware-URL (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc) in brickDevice.py durch die URL der gehosteten Datei.
3. Pair den Wemo Smart Plug mit der Wemo App.
4. Führe das Skript brickDevice.py aus.
5. Der Wemo Smart Plug wird nicht mehr reagieren und kann nicht zurückgesetzt oder von der mobilen App erkannt werden.

Veröffentlichung

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates