CVE-2023-33768

[Descripción] La verificación incorrecta de la firma del firmware durante el proceso de actualización de firmware del Belkin Wemo Smart Plug WSP080 v1.2 permite que los atacantes provoquen una Denegación de Servicio (DoS) a través de un archivo de firmware manipulado.

[Información adicional] Al actualizar el firmware del enchufe inteligente Wemo a través de su aplicación móvil, descubrimos que si la firma del firmware del binario del enchufe inteligente no es válida, puede hacer que el Wemo Smart Plug deje de responder (se convierta en un ladrillo).

Explotamos la aplicación Wemo Android (com.belkin.wemoandroid) para inyectar firmware modificado en el Wemo Smart Plug. El firmware original se encuentra en: http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. Cambiamos esta URL en la aplicación Wemo inyectando código en el método onResponse de la librería Android Volley. Cambiamos la URL que apunta a un binario en el que modificamos un byte. Específicamente modificamos el binario de la siguiente manera: @00124C90 (4ª línea al final del archivo de firmware) A3 E0 49 D5 cambiado a A3 E0 50 D5.

Confirmamos que el firmware modificado se envía al dispositivo interceptando el tráfico de red hacia el enchufe inteligente. Después de que el enchufe inteligente recibe el firmware modificado, el enchufe deja de responder y no puede ser reiniciado ni detectado por la aplicación móvil.

[Tipo de vulnerabilidad] Denegación de Servicio

[Proveedor del producto] Belkin

[Código base del producto afectado] Wemo Smart Plug WSP080 - Wemo Android App (com.belkin.wemoandroid) (1.2)

[Componente afectado] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[Tipo de ataque] Remoto

[Vectores de ataque] Este ataque puede realizarse simplemente modificando al menos un byte del binario del firmware en cualquier punto durante la entrega del binario del firmware al enchufe inteligente. Esto puede hacerse cuando el firmware se descarga al dispositivo móvil o al servidor MQTT, o cuando está en tránsito en cualquiera de las redes.

Pasos

1. Aloje el archivo crafted_firmware_tz.bin.enc en un servidor web.
2. Reemplace la URL del firmware original (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc) en brickDevice.py con la URL del archivo alojado.
3. Empareje el Wemo Smart Plug con la aplicación Wemo.
4. Ejecute el script brickDevice.py.
5. El Wemo Smart Plug dejará de responder y no podrá ser reiniciado ni detectado por la aplicación móvil.

Publicación

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates