CVE-2023-33768

[Description] Une vérification incorrecte de la signature du firmware lors du processus de mise à jour du firmware de la Belkin Wemo Smart Plug WSP080 v1.2 permet à des attaquants de provoquer un déni de service (DoS) via un fichier de firmware contrefait.

[Informations supplémentaires] Lors de la mise à jour du firmware de la prise intelligente Wemo via son application mobile, nous avons constaté que si la signature du firmware du binaire de la prise intelligente est invalide, cela peut faire cesser de répondre la prise intelligente Wemo (devenir un « brick »).

Nous exploitons l'application Android Wemo (com.belkin.wemoandroid) pour injecter un firmware modifié dans la prise intelligente Wemo. Le firmware d'origine se trouve à l'adresse : http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc. Nous modifions cette URL dans l'application Wemo en injectant du code dans la méthode onResponse de la bibliothèque Android Volley. Nous modifions l'URL pour pointer vers un binaire dans lequel nous avons modifié un octet. Plus précisément, nous modifions le binaire de la manière suivante : @00124C90 (4e ligne à la fin du fichier de firmware) A3 E0 49 D5 remplacé par A3 E0 50 D5.

Nous confirmons que le firmware modifié est envoyé à l'appareil en interceptant le trafic réseau vers la prise intelligente. Une fois le firmware modifié reçu par la prise intelligente, la prise cesse de répondre et ne peut être ni réinitialisée ni détectée par l'application mobile.

[Type de vulnérabilité] Déni de service

[Vendeur du produit] Belkin

[Base de code du produit affecté] Wemo Smart Plug WSP080 - Application Android Wemo (com.belkin.wemoandroid) (1.2)

[Composant affecté] http://app.xbcs.net/firmware/Wemo-RTOS/715-f30e070f6/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc

[Type d'attaque] À distance

[Vecteurs d'attaque] Cette attaque peut être réalisée en modifiant simplement au moins un octet du binaire du firmware à n'importe quel moment de la livraison du binaire du firmware à la prise intelligente. Cela peut être fait lors du téléchargement du firmware sur l'appareil mobile ou sur le serveur MQTT, ou lorsqu'il est en transit sur l'un des réseaux.

Étapes

1. Hébergez le fichier crafted_firmware_tz.bin.enc sur un serveur web.
2. Remplacez l'URL du firmware d'origine (http://34.135.183.171/wemo/WEMO_WW_4.00.20111600.PVT-RTOS-SNSV4_tz.bin.enc) dans brickDevice.py par l'URL du fichier hébergé.
3. Appairez la prise intelligente Wemo avec l'application Wemo.
4. Exécutez le script brickDevice.py.
5. La prise intelligente Wemo cessera de répondre et ne pourra être ni réinitialisée ni détectée par l'application mobile.

Publication

https://www.computer.org/csdl/proceedings-article/eurosp/2023/651200b047/1OFthXNYuRy https://research.utwente.nl/en/publications/aot-attack-on-things-a-security-analysis-of-iot-firmware-updates