CVE-2021-3625

Dieses Repository enthält einige Beispiel-Exploits für CVE-2021-3625.

Alle Zephyr-basierten USB-Geräte bis einschließlich Version 2.5.0 leiden unter einem Pufferüberlauf, der das Auslesen von bis zu 65 kB ermöglicht. Abhängig vom tatsächlichen Gerät kann dies zum Verlust sensibler Daten wie Verschlüsselungsschlüssel oder Anmeldeinformationen führen.

Das Problem kann ausgelöst werden, indem präparierte USB-Steuerungs-Transfer-Anfragen mit IN-Richtung (Lesevorgänge zum Host) und einer schreibspezifischen Anfrage – zum Beispiel set address (0x05) – gesendet werden. In solchen Fällen wird ein Schreiben zum Host nicht erwartet, daher wird die Antwortlänge nicht aktualisiert, was zu einem anfänglich gesetzten Wert von request->wLength führt. Da wLength vom Benutzer kontrolliert wird, kann es auf einen beliebigen Zweibyte-Wert wie 0xffff gesetzt werden, was zum Auslesen von 65 Kilobyte Mikrocontrollerspeicher führt. Da die Größe des Puffers deutlich kleiner ist, findet ein Überlauf statt, der es einem Angreifer ermöglicht, Speicherinhalte jenseits der Puffergrenze zu extrahieren.

Neben der Anwendungsschicht sind auch MCUBoot-Builds mit aktiviertem Zephyr-USB-Device-Stack betroffen. Darüber hinaus kann neben dem Speicherauslesen über Puffergrenzen hinaus auch die DFU-Klasse ausgenutzt werden, um einen Pufferüberlauf-Schreibvorgang zu erreichen.

Für beste Ergebnisse wird empfohlen, einen libusb-Build mit einer von den Standard-4096 Bytes auf 0xFFFF erhöhten MAX_CTRL_BUFFER_LENGTH-Größe zu verwenden (libusb/os/linux_usbfs.h).

Sicherheitshinweis: https://github.com/zephyrproject-rtos/zephyr/security/advisories/GHSA-c3gr-hgvr-f363